Организация работы с персональными данными

Содержание
  1. 5 шагов по организации учета и хранения персональных данных
  2. Какие данные являются персональными
  3. Обработка персональных данных
  4. Организация учета и хранения персональных данных
  5. Подведем итоги
  6. Обработка персональных данных: пошаговая инструкция для компаний — Право на vc.ru
  7. Разберемся с терминами
  8. Как обрабатывать ПДн, чтобы клиенты были спокойны, а Роскомнадзор не беспокоил
  9. Чем грозит невыполнение требований по обработке персональных данных
  10. Выводы
  11. Основные нормативные документы, касающиеся обработки персональных данных
  12. Организация защиты данных, организация работ и системы защиты информации
  13. Организация защиты персональных данных
  14. Система и мероприятия по организации защиты данных
  15. Положение о защите персональных данных
  16. Назначение ответственных за организацию защиты данных
  17. Как организовать работу с персональными данными при дистанционной работе
  18. Надо ли брать согласие работников на измерение их температуры и обработку данных сведений?
  19. Как правильно организовать передачу персональных данных при передаче третьим лицам для заказа пропуска работников, которые работают в период самоизоляции?
  20. Организация работы с персональными данными
  21. Что такое персональные данные
  22. Оператор по обработке персональных данных
  23. Положение о работе с персональными данными
  24. Фрагмент Положения о персональных данных работников
  25. Если есть профсоюз
  26. Ознакомление работников с Положением

5 шагов по организации учета и хранения персональных данных

Организация работы с персональными данными

Сохранности персональных данных стоит уделить особое внимание, так как с прошлого года законодатель ужесточил ответственность для работодателя за несоблюдение обязанности по их защите. В статье расскажем, что считается персональными данными, какие обязанности по их защите установлены для работодателей и как организовать правильный учет и хранение персональных данных сотрудников.

Систематизируйте или обновите знания, получите практические навыки и найдите ответы на свои вопросы на курсах повышения квалификации в Школе бухгалтера. Курсы разработаны с учетом профстандарта «Бухгалтер».

Работодатель, принимая сотрудника на работу, должен запросить у него определенные сведения, которые необходимы в рамках трудового, налогового и бухгалтерского законодательства.

Федеральный закон от 27.07.

2006 № 152-ФЗ «О персональных данных» требует от работодателя, который в данном случае является оператором персональных данных и выполняет их обработку, обеспечить безопасность этой информации.

Какие данные являются персональными

Персональными данными является любая информация, прямо или косвенно относящаяся к субъекту персональных данных — определенному или определяемому физическому лицу (ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», далее — Закон о персональных данных).

К общим персональным данным можно отнести следующие сведения:

  • фамилия, имя, отчество;
  • дата и место рождения;
  • адрес (место регистрации);
  • образование, профессия;
  • изображение человека (фотография и видеозапись), которое позволяет установить личность и с этой целью используется оператором (Разъяснения Роскомнадзора от 30 августа 2013 года «О вопросах отнесения фото- и видео- изображения, дактилоскопических данных и иной информации к биометрическим персональным данным и особенности их обработки»);
  • семейное положение, наличие детей, родственные связи;
  • факты биографии и предыдущая трудовая деятельность (место работы, судимость, служба в армии, работа на выборных должностях, на государственной службе и др.);
  • финансовое положение. Сведения о заработной плате также являются персональными данными (письмо Роскомнадзора от 07.02.2014 № 08КМ-3681);
  • деловые и иные личные качества, которые носят оценочный характер;
  • прочие сведения, которые могут идентифицировать человека.

Кроме того, в Законе о персональных данных упоминаются:

  • специальные персональные данные (касаются расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни). По общему правилу обработка этих данных не допускается. Исключение — случаи, предусмотренные частью 2 статьи 10 Закона о персональных данных;
  • биометрические персональные данные (характеризуют физиологические и биологические особенности человека, на основании которых можно идентифицировать его личность). Для обработки таких сведений необходимо согласие субъекта персональных данных. Исключение — случаи, установленные ч. 2 ст. 11 Закона о персональных данных.

Работодатель вправе получать и использовать только те сведения, которые характеризуют гражданина как сторону трудового договора (например, сведения о социальном и имущественном статусе человека не имеют отношения к его трудовому процессу). Эта информация содержится в следующих документах, предъявляемых работником при приеме на работу:

  • в паспорте или ином документе, удостоверяющем личность;
  • трудовой книжке;
  • документах о воинском учете, образовании, составе семьи;
  • справке о доходах с предыдущего места работы;
  • анкете, заполняемой при трудоустройстве;
  • личной карточке работника (форма Т-2);
  • свидетельствах о заключении брака, рождении ребенка;
  • медицинских справках и др.

У работодателя хранятся копии перечисленных документов, за исключением анкет, трудовых книжек и личных карточек.

Обработка персональных данных

Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение данных (ст. 3 Закона о персональных данных).

Закон о персональных данных обязывает работодателя соблюдать определенные требования по обработке этих данных. Например, обработка персональных данных осуществляется только с согласия работника (п. 1 ст. 6, ст. 9 Закона о персональных данных). Во избежание судебных споров лучше, если это согласие будет оформлено письменно. То же самое правило действует в отношении соискателей.

В некоторых случаях письменная форма согласия прямо предусмотрена законом (ч. 4 ст. 9 Закона о персональных данных). Например, письменное согласие работника на обработку его персональных данных требуется:

1) при получении персональных данных работника у третьей стороны (п. 3 ст. 86 ТК РФ). Но в этом случае работника нужно предварительно уведомить об этом и получить его письменное согласие (п. 3 ст. 86 ТК РФ).

В уведомлении необходимо указать (п. 3 ст. 86 ТК РФ):

  • цели получения персональных данных работника у третьего лица;
  • предполагаемые источники информации (лица, у которых будут запрашиваться данные);
  • способы получения данных, их характер;
  • возможные последствия отказа работодателю в получении персональных данных работника у третьего лица. При отказе работника ознакомиться с уведомлением о предполагаемом получении его персональных данных у другого лица целесообразно составить соответствующий акт.

Если работник передумал, то в любое время вправе отозвать согласие на обработку персональных данных (ч. 2 ст. 9 Закона о персональных данных).

В такой ситуации продолжение обработки персональных данных работника без его согласия возможно при наличии веских причин. Они перечислены в пунктах 2 — 11 части 1 статьи 6, части 2 статьи 10, части 2 статьи 11 Закона о персональных данных (ч. 2 ст. 9 Закона о персональных данных).

Определенную информацию (которая не имеет отношения к перечисленным в пункте 1 статьи 86 ТК РФ целям), работодатель не вправе запрашивать у третьих лиц даже, если работник согласен.

2) при передаче персональных данных работника третьим лицам, кроме тех случаев, когда это необходимо для предупреждения угрозы жизни и здоровью работника (абз. 2 ст. 88 ТК РФ);

3) для обработки специальных категорий персональных данных работника, непосредственно связанных с вопросами трудовых отношений (п. 4 ст. 86 ТК РФ, п. 1 ч. 2 ст. 10 Закона о персональных данных). К этим данным относятся сведения о расовой, национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни.

При недееспособности работника письменное согласие на обработку его данных дает его законный представитель (родитель, опекун) (ч. 6 ст. 9 Закона о персональных данных). А в случае смерти работника такое согласие оформляют его наследники, если только оно не было получено от самого работника при его жизни (ч. 7 ст. 9 Закона о персональных данных).

Не во всех случаях требуется согласие работника на обработку персональных данных. Например, в том случае, если данные получены (п. 2 ч. 1 ст. 6, п. 2.3 ч. 2 ст. 10 Закона о персональных данных, абз. 1 Разъяснений Роскомнадзора):

  1.  из документов (сведений), предъявляемых при заключении трудового договора;
  2. по результатам обязательного предварительного медицинского осмотра о состоянии здоровья (ст. 69 ТК РФ, п. 3 Разъяснений Роскомнадзора от 14 декабря 2012 года «Вопросы, касающиеся обработки персональных данных работников, соискателей на замещение вакантных должностей, а также лиц, находящихся в кадровом резерве», далее — Разъяснения Роскомнадзора от 14.12.2012);
  3. в объеме, предусмотренном унифицированной формой № Т-2, в том числе персональных данных близких родственников, и в иных случаях, установленных законодательством РФ (получение алиментов, оформление допуска к государственной тайне, оформление социальных выплат) (п. 2 Разъяснений Роскомнадзора от 14.12.2012);
  4. от кадрового агентства, действующего от имени соискателя (абз. 12 п. 5 Разъяснений Роскомнадзора от 14.12.2012);
  5. от соискателя, который сам разместил свое резюме в Интернете, сделав его доступным неограниченному кругу лиц (п. 10 ч. 1 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ, абз. 12 п. 5 Разъяснений Роскомнадзора от 14.12.2012).

Работодатель с согласия работника может поручить обработку его персональных данных другому лицу (ч. 3 ст. 6 Закона о персональных данных, абз. 2 п. 5 Разъяснений Роскомнадзора от 14.12.2012). Но при этом именно работодатель несет ответственность перед работником за действия указанного лица (ч. 5 ст. 6 Закона о персональных данных).

Вебинары для бухгалтеров в Контур.Школе: изменения законодательства, особенности бухгалтерского и налогового учета, отчетность, зарплата и кадры, кассовые операции.

Организация учета и хранения персональных данных

Работодатель должен обеспечивать защиту персональных данных работника от неправомерного их использования или утраты за счет своих средств (п. 7 ст. 86 ТК РФ).

Разберем пошагово действия работодателя по учету и хранению персональных данных в организации.

Шаг 1. Работодатель должен издать локальный акт, который будет регулировать порядок хранения и использования персональных данных. Таким актом обычно является Положение о персональных данных работников, с которым работники должны быть ознакомлены под подпись (п. 8 ст. 86 ТК РФ).

Ознакомиться с Положением о персональных данных, как и с остальными локальными нормативными актами, работник должен до подписания трудового договора (ст. 68 ТК РФ). Ознакомить работника с документом путем рассылки его по электронной почте нельзя, это не будет считаться ознакомлением под подпись.

При отсутствии подписи работника работодатель не сможет доказать, что работник был ознакомлен с данным документом.

Положение о персональных данных, как и любой другой локальный нормативный акт, издается и утверждается приказом, который подписывает руководитель организации или иное уполномоченное на это лицо. 

В случае проверки организации, проверяющие органы могут запросить данный документ и проверить, ознакомлены ли с ним работники.

Отсутствие такого документа или неознакомление работников с ним может являться основанием для привлечения работодателя к ответственности согласно части 1 статьи 5.27 КоАП РФ, а в случае совершения аналогичного нарушения повторно — по части 2 статьи 5.27 КоАП РФ.

Такой вывод также подтверждается судебной практикой (Постановление ФАС Московского округа от 26.10.2006 № КА-А40/10220-06 № А40-20745/06-148-194).

Шаг 2. Работодатель утверждает документ, содержащий перечень персональных данных, которые используются в деятельности организации. В этот документ включаются все сведения, которые работник письменно сообщает о себе при поступлении на работу, а также используемые в дальнейшем при оформлении кадровой документации.

Помимо этого в перечне должны быть указаны документы, содержащие те сведения о сотрудниках, которые организация представляет в различные государственные органы (налоговую и трудовую инспекции, органы статистики).

Шаг 3. Работодатель приказом должен назначить ответственных за работу с персональными данными и ответственных за обеспечение безопасности персональных данных.

Таким ответственным может быть как конкретное лицо, так и подразделение. В последнем случае личную ответственность несет руководитель такого подразделения.

Этот приказ необходимо довести до сведения всех указанных в нем сотрудников, что должно подтверждаться их подписью.

Шаг 4. На случай проверки во избежание споров с проверяющими лучше подготовить следующие документы:

  • заявления работников о согласии на обработку персональных данных;
  • журналы учета персональных данных, их выдачи и передачи другим лицам и представителям различных организаций, государственным органам;
  • журнал проверок наличия документов, содержащих персональные данные работника.

Шаг 5. Приказом руководителя организации установить перечень мест хранения документации, являющейся носителем персональных данных работников, а также перечень мер, необходимых для обеспечения сохранности персональных данных, порядок их принятия.

Все документы, содержащие персональные данные работников, такие как личные дела, картотеки, учетные журналы, следует хранить в специально оборудованных шкафах или сейфах, которые запираются и опечатываются.

Трудовые книжки работников нужно хранить в сейфе отдельно от личных дел.

Подведем итоги

Что можно порекомендовать работодателям во избежание привлечения к ответственности, а также дополнительных затрат в случае проведения проверок? Обязательно проверьте:

  • от всех ли работников получено согласие на обработку персональных данных;
  • ознакомлены ли работники с локальными актами, устанавливающими порядок обработки таких данных, и с их правами и обязанностями в этой области;
  • должным ли образом осуществляется хранение и защита персональных данных;
  • соответствует ли документация об их обработке требованиям законодательства и т.д.

Источник: https://School.Kontur.ru/publications/1583

Обработка персональных данных: пошаговая инструкция для компаний — Право на vc.ru

Организация работы с персональными данными

Маршрут, который поможет самостоятельно выполнить требования по защите и обработке персональных данных.

Rawpixel

Меня зовут Андрей Северюхин. Я CEO Sum&Substance. Уже почти три года мы занимаемся онлайн-идентификацией для каршерингов, логистики и финтех-проектов, работа с персональными данными — одна из наших сильных сторон.

Вместе с Павлом Кирилловым, CEO компании Элефус и нашим партнером по работе с персданными, расскажем о том, как обрабатывать такую информацию, не нарушая закон.

Обычно компания задумывается о защите/обработке персональных данных, когда продвинутый клиент спрашивает: «А почему у меня не взяли согласие на обработку? Где на сайте можно посмотреть политику? А вы есть в Реестре операторов?».

Дальше компания начинает быстро собирать информацию, находит ФЗ-152. Но оказывается, что помимо самого закона есть еще куча подзаконных актов, и так, шаг за шагом происходит погружение в кроличью нору.

Окончательно потеряв надежду и увязнув в паутине этой достаточно запутанной темы, компания скачивает из интернета какое-то согласие, вешает на сайт политику по обработке персональных данных и, затаив дыхание, ждет, что им за это будет.

Мы предлагаем маршрут, который поможет выполнить все требования регуляторов и позволит выбраться из кроличьей норы. Следуйте за белым кроликом.

Разберемся с терминами

Персональные данные — любая информация, относящаяся (прямо или косвенно) к определенному или определяемому физическому лицу.

Звучит не очень понятно, попробуем разобраться, что относится к персональным данным, а что — нет. Далее представлена практика, полученная из комментариев Роскомнадзора и общения с регулятором.

Как в этом разобраться? Роскомнадзор предлагает следующий подход — если по совокупности данных можно идентифицировать человека, то мы имеем дело с персональными данными, даже если документов и других точных идентификаторов нет. Если же для идентификации нужна дополнительная информация, такие данные не считаются персональными.

Идентификаторы. Однозначные идентификаторы, по Роскомнадзору, это номер и серия паспорта, СНИЛС, ИНН, биометрические данные, банковский счет, номер банковской карты. Чтобы определить человека было невозможно, данные можно обезличить по методологическим рекомендациям Роскомнадзора.

Не могут рассматриваются как персданные (по крайней мере, по отдельности друг от друга): фамилия, имя, отчество, адрес проживания, email, номер телефона, дата рождения.

При этом, если у вас небольшая компания, и вы не уверены, обрабатываете ли персональные данные. Ответ «да» – всегда =)

  1. Вы нанимаете себе сотрудников или подрядчиков, заключаете договор, заполняете формы Т-2.
  2. Вы собираете данные клиентов для заключения договоров/выполнения заказов.
  3. На вашем сайте есть форма обратной связи с полями: ФИО, телефон, email.

Итак, любая компания автоматически является оператором персональных данных (то есть юридическим лицом, осуществляющим обработку). Давайте поговорим о том, как данные правильно обрабатывать и защищать, и что будет, если этого не делать.

Как обрабатывать ПДн, чтобы клиенты были спокойны, а Роскомнадзор не беспокоил

Во-первых, нужно выяснить, какие информационные системы есть в компании и какие специалисты задействованы в их функционировании. Инициатива должна исходить от руководства и ИТ, которые лучше других знают, какие системы используются. К процессу также привлекаются кадровые специалисты, юристы, продавцы.

Чаще всего компании обрабатывают персональные данные сотрудников (соискателей), клиентов, контрагентов.

Главное, что нужно сделать на этом этапе — понять, какие персональные данные обрабатываются, откуда они приходят и куда передаются. То есть нарисовать информационные потоки, связанные с обработкой персональных данных, причем как с автоматизированной, так и с ручной.

Шаг 2. Модель угроз и классификация информационных систем

Классификация. Здесь нам необходимо будет классифицировать наши информационные системы, обрабатывающие персональные данные, и определить актуальные для них угрозы. По результатам классификации мы определяем уровень защищенности информации.

Уровень защищенности персональных данных — это показатель, отражающий требования для обеспечения базовой защиты информации.

Модель угроз. Параллельно с классификацией мы определяем актуальные угрозы для наших систем, которые отражаем в модели угроз.

Модель угроз — это документ, в котором отражены актуальные угрозы, потенциально влияющие на работу конкретной информационной системы.

Результат этапа. Это полный перечень требований по защите персональных данных (уровень защищенности, базовые требования, модель угроз, требования, учитывающие специфику конкретной информационной системы, обрабатывающей персональные данные).

Шаг 3. Меры защиты персональных данных

После того, как мы определили требования, необходимо эти требования реализовать. Защита персональных данных делится на технические и организационные меры. Рассмотрим их подробнее.

  1. Антивирусная защита
  2. Модули разграничения доступа на уровне прикладных систем или сети.
  1. Назначаем ответственного за защиту персональных данных
  2. Утверждаем перечень обрабатываемых и защищаемых данных.
  3. Составляем регламент для сотрудников и знакомим с ним всех под роспись. Например, предупреждаем, что нельзя отправлять по почте сканы паспортов или заявляем о необходимости регулярно обновлять антивирус на рабочем месте.

На данном этапе мы должны разработать Согласие на обработку персональных данных и Политику по обработке персональных данных. Про них поговорим подробнее.

  1. Письменная форма согласия. Требования к пунктам согласия отражены здесь. Обратите внимание, данные требования предъявляются только к письменной форме, при этом письменная форма требуется далеко не во всех случаях.

    Например, при обработке биометрических данных, специальных категорий персональных данных (подробнее о том, что это такое — здесь), при трансграничной передаче.

  2. Когда согласие не нужно. Если вы заключаете договор с клиентом, в рамках которого вы берете с него персональные данные, то согласие брать не требуется.

    Подробнее о таких случаях — тут.

  3. Электронное согласие. В остальных случаях, достаточно электронного согласия.

Политики по обработке персданных. Рекомендации по разработке выпустил Роскомнадзор. Но это лишь рекомендации. Если они вас по каким-то причинам не удовлетворяют, можете руководствоваться другими подходами. Но, если у вас нет своих идей, возьмите предложения регулятора за основу.

Неавтоматизированная обработка персональных данных. Принимая решение, как и где хранить персональные данные на бумаге, можно ориентироваться на специальное постановление.

Шаг 4. Отправка уведомления в Роскомнадзор

Уведомление отправляется через сайте Роскомнадзора, где вводится вся та информация, которую мы собрали на предыдущих шагах. Заполнить и отправить уведомление можно здесь.

Есть случаи, когда уведомление в Роскомнадзор подавать не надо, они оговорены здесь. Обычно эти условия подходят для небольших и средних компаний. То есть не надо в любой непонятной ситуации отправлять уведомление в Роскомнадзор.

Чем грозит невыполнение требований по обработке персональных данных

Мы потратили уже прилично вашего времени, но не ответили на ключевой вопрос: а что же будет, если этого всего не сделать?

Разберем самые распространенные нарушения:

Нехитрый математический подсчет показывает, что если нарушить все пункты, то можно получить совокупный штраф порядка 300 тыс. рублей, о котором часто пишут в статьях. Но это в совокупности, по каждому конкретному нарушению будет меньшая сумма.

Выводы

Вот такие нехитрые шаги позволят вам спать спокойно и обрабатывать персональные данные. В первую очередь важно понимать, кто, где и зачем обрабатывает персональные данные. Это стержень на который наматывается вся остальная обертка, связанная с разработкой документов и доработкой сведений на сайте. Тот, кто познает эту истину, познает дзен.

Основные нормативные документы, касающиеся обработки персональных данных

Источник: https://vc.ru/legal/52958-obrabotka-personalnyh-dannyh-poshagovaya-instrukciya-dlya-kompaniy

Организация защиты данных, организация работ и системы защиты информации

Организация работы с персональными данными

Группа компаний «Интегрус» организует защиту данных в части алгоритмов сбора, обработки, хранения информации.

Наши специалисты повысят уровень безопасности, предупредят несанкционированное проникновение в электронные базы данных, снизят репутационные риски, помогут избежать штрафных санкций, административной, дисциплинарной, имущественной ответственности, предусмотренной Федеральным законом №152-ФЗ «О персональных данных».

Организация защиты персональных данных

Профессиональная организация безопасности данных и информационной защиты помогает ведомственным учреждениям, компаниям пересматривать политики, внедрять эффективные способы защиты личных данных клиентов, партнеров, сотрудников. Безопасность в этом случае базируется на следующих основополагающих моментах:

  • оценке текущего состояния технической, аппаратной составляющей используемой системы, поиске уязвимых мест;
  • организации систем защиты персональных данных, которые реализовываются компаниями, учреждениями (это политики, из которых формируется общий регламент);
  • соответствии паролей международным стандартам;
  • отработка контрдействий, использования средств защиты персональных данных в организации, применяемые в случае попытки несанкционированного доступа к информации.

Организация защиты конфиденциальных данных включает работу с персоналом. Это обусловлено тем, что в 80% случаев именно работники становятся инициаторами проникновения вредоносных программ в систему. Такое происходит без злого умысла со стороны сотрудника. Проникают вирусы следующим образом:

  • с обновлениями ПО;
  • через письма, приходящие на электронную почту;
  • при переходе по ссылкам;
  • через съемные носители информации.

Организация работ по защите персональных данных основывается, в том числе и на работе с персоналом. Составляются инструкции и политики обязательные для ознакомления, проводятся занятия в режиме реального времени.

Мы поможем создать и наладить работу организации по защите персональных данных в организации. Это повысит безопасность, эффективность противодействий попыткам несанкционированного проникновения в системы для кражи информации. Квалифицированные сотрудники подразделения следят за выполнением политики конфиденциальности, предупреждают несанкционированные проникновения в систему третьих лиц.

Организация защиты информационной системы персональных данных требует комплексного подхода, основывается на работе над аппаратной, программной составляющей и обучении персонала. Только так возможно создать эффективное противодействие виртуальным угрозам, обезопасить информацию от утечки.

Система и мероприятия по организации защиты данных

Наша задача – обеспечить сохранность данных, исключить потерю доступа к ним ответственных лиц, предотвратить проникновение третьих лиц. Мероприятия по защите персональных данных в организации включают организацию:

  • автоматического тайм-аута пользовательского терминала. Если он не используется, для повторного открытия требуется идентификация и пароль;
  • автоматического отключения идентификатора пользователя при вводе нескольких ошибочных паролей, файл журнала событий (мониторинг попыток взлома);
  • системы защиты данных в организации требуют разработки политики персонала. В ней определяются права каждого сотрудника на доступ к персональным данным;
  • информирования персонала об обязанностях и последствиях за любые их нарушения. Обеспечение сотрудникам доступа к персональным данным и ресурсам в рамках выполнения служебных обязанностей;
  • контроля доступа для использования определенных областей систем обработки данных.

План мероприятий по защите персональных данных в организации составляется на основе анализа имеющихся ресурсов и целей, которые ставит перед нашими специалистами заказчик. Затем он согласуется с клиентом, начинается реализация. Завершающая стадия – проверка эффективности, работоспособности внедренных алгоритмов, установленного оборудования.

Системы защиты информации в организации это не только виртуальная, но и физическая защита. Это означает необходимость ограничения доступа в помещения, где размещается серверное оборудование (установка сигнализации, СКУД, оборудование постов охраны). Если организация использует облачные технологии, поможем найти надежного провайдера.

Положение о защите персональных данных

Согласно 152-ФЗ работодатель обязан обеспечить защиту персональных данных сотрудников. В противном случае Роскомнадзор вправе наложить на предприятие, ответственных за работу с информацией лиц штрафные санкции.

Это штраф, запрет занимать определенные должности или лишение свободы.

Положение о защите персональных данных работников организации снизит риск наложения штрафов на предприятия, компании, должностных лиц, ответственных за сбор, обработку информации.

Важно!

Запрещается получать и работать с данными, которые не относятся к трудовой деятельности. Персональные данные – это любая информация о сотруднике (ФИО, место жительства, информация о родственниках). Законодательство требует от работодателей иметь и использовать положение о сборе и работе с подобного рода данными.

Разработка положения об обработке и защите персональных данных в организации включает следующие этапы:

  • определение, какие данные используются;
  • способы сбора;
  • методы обработки;
  • правила хранения.

Наши специалисты разработают положение в соответствии с поставленными задачами, оформят в соответствии с действующими нормами.

Назначение ответственных за организацию защиты данных

Согласно 152-ФЗ, компания, что осуществляет работу с персональными данными, должна иметь ответственное за это лицо. Квалификационных требований к такому сотруднику законодательство не содержит, поэтому владелец компании, предприятия или уполномоченное им лицо выбирает кандидатуру самостоятельно.

Зачастую приказ о назначении ответственных за организацию защиты персональных данных составляется на специалиста, который работает с кадровой документацией или клиентской базой. Сотрудник, согласно законодательству, подчиняется напрямую руководителю предприятия, организации.

Независимо от того, кто отвечает за защиту персональных данных в организации, это должен быть подготовленный человек. Подразумевается как теоретическая, так и практическая подготовка. Наши специалисты проведут обучение, выбранного работодателем сотрудника (или нескольких) для организации работы с персональными данными в рамках законодательства, утвержденных внутренних положений.

Организация обработки и защиты персональных данных нашей компанией – это оперативная, профессиональная работа. Клиенту гарантируется результат, эффективное решение поставленных задач.

Источник: https://integrus.ru/blog/it-decisions/organizatsiya-obrabotki-zashhity-dannyh-na-predpriyatii.html

Как организовать работу с персональными данными при дистанционной работе

Организация работы с персональными данными

Если работник в настоящий период времени имеет доступ к персональным данным при выполнении своих должностных обязанностей дистанционно, в том числе имеет доступ к серверу, электронной почте, бумажным и электронным документам, содержащих персональные данные, то для правомерной обработки персональных данных, включая их передачу, как внутри организации, так и при передаче за пределы организации необходимо закрепить порядок такой обработки.

Рекомендуется разработать отдельный локальный акт о работе с персональными данными (как впрочем и с данными, которые относятся к коммерческой тайне организации) при дистанционной работе.

Что важно прописать:

  • какие адреса электронной почты будут использоваться для передачи любых персональных данных, включая документы их содержащие;
  • какие необходимые меры защиты (правовые, организационные и технические) обеспечит  работодатель при обработке персональных данных;
  • к каким системам у работника будет организован доступ (сервер, сайт компании, портал, 1 С и т.д.). в течении дистанционной работы;
  • какие обязанности несет работник,  допущенный к персональным данным (отправка файлов только «под паролем», обезличивание персональных данных (при необходимости) и т.д.);
  • какую ответственность  будет нести работник за нарушение порядка работы с персональными данными (уголовная, административная, дисциплинарная – вплоть до увольнения);
  • порядок организации общения по каналам связи между должностными лицами, находящимися удаленно для решения рабочих вопросов, в процессе которых могут использоваться персональные данные работников и иных лиц;
  • что должен делать работник в случае выявления несанкционированного доступа к персональным данным при удаленной работе (как он может выявить такой несанкционированный доступ);
  • обязанности и ответственность специалистов IT по организации возможности работником работать удаленно и иметь допуск к информации защищенного доступа.

Работника необходимо ознакомить с данным регламентом.

Данный регламент поможет снизить риски компании при проведении проверки Роскомнадзора или в случае возникновения претензий со стороны работника при утечке его персональных данных (порче, утраты и т.д.), а также привлечь лиц, виновных в нарушении порядка работы с персональными данными к ответственности.

Надо ли брать согласие работников на измерение их температуры и обработку данных сведений?

Ответ на этот вопрос полностью освящен в разъяснениях Роскомнадзора «Особенности использования тепловизоров работодателями – операторами персональных данных – с целью предотвращения распространения коронавируса»  от 10.03.2020. https://rkn.gov.ru/

«В связи с запросами работодателей – операторов персональных данных – о допустимости использования тепловизоров для измерения температуры работников, посетителей предприятий и организаций, Роскомнадзор разъясняет.

Температура тела – это информация о состоянии здоровья и, соответственно, относится к специальной категории персональных данных. Обработка таких данных без согласия субъекта в соответствии с частью 2.3 ст. 10 Федерального закона “О персональных данных” допускается, если осуществляется в соответствии с трудовым законодательством.

В соответствии со ст. 88 ТК РФ, работодатель не вправе запрашивать информацию о состоянии здоровья работника, за исключением данных, свидетельствующих о возможности выполнения работником трудовых функций. Поскольку меры по выявлению заболевания связаны с определением возможности выполнения трудовых функций, согласия работника на измерение температуры не требуется.

Посетители, не имеющие с организацией трудовых отношений, будут выражать свое согласие на сбор сведений о температуре тела (без идентификации) посредством конклюдентных действий, выражающихся в намерении посетить организацию. При этом при выявлении повышенной температуры посетителя направляют на консультацию к врачу.

Работники, а также посетители организации должны быть надлежащим образом уведомлены о проведении измерений температуры. С этой целью рекомендуется разместить на входе в организацию соответствующее объявление.

Показатели тепловизора рекомендуется уничтожать в течение суток после их получения ввиду достижения цели сбора указанных показателей.

ВНИМАНИЕ: данные разъяснения могут быть скорректированы работодателями с учетом региональных нормативных актов, принятых в связи с угрозой распространения коронавируса, например, Указа Мэра Москвы N 12-УМ от 5 марта 2020 г.

Таким образом, отдельного согласия на измерение температуры от работников брать не  нужно, но на входе в организацию необходимо разместить объявление о том, что для всех лиц, проходящих на территорию организации будет осуществятся измерение температуры бесконтактным способом с использованием тепловизоров.

Как правильно организовать передачу персональных данных при передаче третьим лицам для заказа пропуска работников, которые работают в период самоизоляции?

В настоящий период времени работодателям очень часто приходят запросы на предоставление разных персональных данных. Одним из таких запросов являются запросы по предоставлению персональных данных для оформления пропусков работников, которые работают в период самоизоляции.

Как правильно организовать передачу персональных данных при этом?

Это зависит от того, является ли передача персональных данных работника обязанностью работодателя в силу норм действующего законодательства или нет. Так как именно от ответа на этот вопрос зависит, нужно ли брать письменное согласие работника на передачу таких данных.

  • Если требование о предоставлении персональных данных установлена нормативными актами –  то передать персональные данные запрашиваемому третьему лицу в порядке, которым он просит (письменно/электронно) работодатель обязан без получения письменного согласия самого работника.

Источник: https://hr-metod.com/materialy-po-kadrovym-i-buhgalterskim-voprosam/kak-organizovat-rabotu-s-personalnymi-dannymi-pri-distancionnoj-rabote.html

Организация работы с персональными данными

Организация работы с персональными данными

С конца лета Закон о персональных данных действует в новой редакции. Изменились правила получения и защиты информации. Для работодателя это означает лишь одно – дополнительный документооборот. В статье расскажем о том, как составить положение о работе с персональными данными сотрудников и назначить ответственного за организацию работы с персональными данными.

Что такое персональные данные

Федеральный закон от 27.07.2006 N 152-ФЗ “О персональных данных” (далее – Закон N 152-ФЗ) определяет персональные данные как любую информацию, прямо или косвенно относящуюся к физическому лицу (субъекту персональных данных). Об этом сказано в п. 1 ст. 3 Закона N 152-ФЗ.

Согласно ч. 1 ст. 85 Трудового кодекса под персональными данными сотрудника понимают информацию, касающуюся конкретного работника, которая необходима работодателю в связи с трудовыми отношениями. Речь идет о таких данных, как:

  • фамилия, имя, отчество;
  • дата и место рождения;
  • пол;
  • адрес;
  • семейное положение;
  • должность (профессия);
  • зарплата, другие доходы;
  • владение недвижимым имуществом, денежные вклады и др.;
  • образование, квалификация, профессиональная подготовка, сведения о повышении квалификации;
  • привычки и увлечения, в том числе вредные (алкоголь, наркотики и др.);
  • факты биографии и предыдущая трудовая деятельность (место работы, размер заработка, судимость, служба в армии, работа на выборных должностях, на государственной службе и др.);
  • физиологические особенности, здоровье;
  • деловые и иные личные качества;
  • другие сведения.

Перечень кадровых документов, в которых содержатся персональные данные работников, приведен в табл. 1 на с. 76.

Таблица 1. Документы, в которых содержатся персональные данные работников

NДокументСведения
1Анкета, автобиография, личный листок по учету кадров (заполняется при приеме на 

работу)

Анкетные и биографические данные 
работника
2Копия документа, удостоверяющего личность 

работника

Ф.И.О., дата рождения, адрес регистрации, семейное положение, 

состав семьи

3Личная карточка (форма N Т-2, утверждена Постановлением Госкомстата России 

от 05.01.2004 N 1)

Ф.И.О. работника, место его рождения,состав семьи, образование, а также данные документа, удостоверяющего 

личность

4Трудовая книжкаСведения о трудовом стаже, предыдущих
местах работы
5Копии свидетельств о заключении
брака, рождении детей
Состав семьи, изменения в семейном 
положении
6Документы воинского учетаИнформация об отношении работника к воинской обязанности, необходимая работодателю для осуществления 

воинского учета работников

7Справка о доходах с предыдущего
места работы
Ф.И.О., данные о сумме дохода и 
удержанного НДФЛ
8Документы об образованииПодтверждают квалификацию работника, обосновывают занятие определенной 

должности

9Документы обязательного 
пенсионного страхования
Ф.И.О., личные данные
10Трудовой договорСведения о должности работника, заработной плате, месте работы, рабочем месте, а также иные 

персональные данные работника

11Приказы по личному составуИнформация о приеме, переводе, увольнении и иных событиях, относящихся к трудовой деятельности 

работника

Оператор по обработке персональных данных

Согласно Закону N 152-ФЗ лицо (юридическое или физическое), которое организует и (или) осуществляет обработку персональных данных, определяет их состав, цели обработки, действия, совершаемые с персональными данными, называют оператором (п. 2 ст. 3 Закона N 152-ФЗ). В нашем случае это работодатель.

Обработка персональных данных – любое совершаемое с ними действие. Операции по обработке персональных данных:

  • сбор;
  • запись;
  • систематизация;
  • накопление;
  • хранение;
  • уточнение (обновление, изменение);
  • извлечение;
  • использование;
  • передача (распространение, предоставление, доступ);
  • обезличивание;
  • блокирование;
  • удаление;
  • уничтожение персональных данных.

Положение о работе с персональными данными

Порядок выполнения обработки оператором персональных данных может быть установлен в Положении о работе с персональными данными сотрудников (далее – Положение). Унифицированной формы документа нет.

Рассмотрим, как составить этот документ с учетом требований Закона N 152-ФЗ. Положение состоит из нескольких разделов. Они представлены в табл. 2. В ней же кратко указаны сведения, которые должны содержать разделы.

Развернутая информация представлена во фрагменте Положения о персональных данных работников, которое приведено на с. 80.

Таблица 2. Структура Положения о персональных данных работников

NОбязанность раздела
1Общие положенияЦель принятия Положения
Вопросы, которые регулирует Положение
Ссылки на нормативные акты. Указывают, на основании каких документов составляется Положение. В организациях, где работают государственные гражданские служащие, дается ссылка на: – Федеральный закон от 27.07.2004 N 79-ФЗ “О государственной гражданской службе РоссийскойФедерации”; – Указ Президента РФ от 30.05.2005 N 609 “Об утверждении Положения о персональных данных государственного гражданского служащего Российской Федерации и ведении его личного дела”; 

– нормативные акты субъекта РФ

2Основные понятия. Состав персональных 

данных работников

Основные понятия. Даются определения понятий “персональные данные”, “обработка персональных данных”, “использование персональных данных”, указывается срок хранения документов и т.д. Отдельно должно быть указано, что относится к персональным данным в конкретной компании с учетом ее особенностей (данные, используемые в работе, например сведения о работе на режимных объектах, об оформлении допуска к государственной тайне, о соответствии здоровья для профессий, связанных с тяжелыми и вредными 

условиями, и т.д.)

Перечень документов организации, которые 
содержат персональные данные
3Получение персональных данных 

работников

Процедура получения персональных данных. Указывается, что данные получают и обрабатывают на основании письменного согласия работника. 

Указываются случаи, когда согласие не нужно

4Использование 
персональных данных
Цели использования личной информации сотрудников
5Обработка 
персональных данных
Условия, соблюдаемые при обработке персональных 
данных работника
6Передача персональных данных (доступ к 

персональным данным)

Порядок передачи персональных данных внутри организации (внутренний доступ), сторонним лицам

и государственным органам (внешний доступ)

7Ответственность за нарушение норм, регулирующих обработку и защиту 

персональных данных

Указывают тех, кто несет ответственность за нарушение правил хранения и использования 

персональных данных

Фрагмент Положения о персональных данных работников

Введение Положения в действие

Положение о персональных данных утверждается руководителем компании и вводится в действие приказом по организации (образец приведен на с. 90). Запись об утверждении Положения нужно сделать в журнале регистрации локальных нормативных актов.

Образец приказа

Если есть профсоюз

Если в компании есть профсоюз, с ним нужно согласовать Положение. Для этого проект положения направляют в выборный орган профсоюза (ст. 372 ТК РФ). Тот должен выразить свое мнение (в письменной форме) не позднее пяти рабочих дней со дня получения проекта.

Если профсоюз не согласен с проектом или имеет предложения по его совершенствованию, у администрации есть два выхода. Первый – согласиться.

Второй – в течение трех дней после получения мотивированного мнения провести дополнительные консультации с профсоюзом в целях достижения взаимоприемлемого решения. Если и это не поможет, следует оформить протокол разногласий.

После этого администрация имеет право принять Положение без учета требований профсоюза. Однако тот сможет обжаловать Положение или начать процедуру коллективного трудового спора в порядке, предусмотренном гл. 61 Трудового кодекса.

Ознакомление работников с Положением

Работники должны быть ознакомлены с Положением под роспись (п. 8 ст. 86 ТК РФ). Данный факт может фиксироваться:

  • в тексте трудового договора каждого работника (перечисление локальных нормативных актов, с которыми работник ознакомлен до подписания договора);
  • – листе ознакомления с Положением (образец на с. 91);
  • – журнале ознакомления работников с локальными нормативными актами (образец на с. 91).

Образец листа ознакомления с локальными нормативными актами


п/п
Наименование локального нормативного актаДатаПодпись
1Правила внутреннего трудового распорядка 
ООО “Черный лес”

Источник: https://hr-portal.ru/article/organizaciya-raboty-s-personalnymi-dannymi

Помощь юриста
Добавить комментарий

;-) :| :x :twisted: :smile: :shock: :sad: :roll: :razz: :oops: :o :mrgreen: :lol: :idea: :grin: :evil: :cry: :cool: :arrow: :???: :?: :!: