Положение о персональных данных работника. Положение об обработке и защите персональных данных работников

А также п. 2 ст. 18.1 закона № 152-ФЗ разрабатывается на каждом предприятии, в том числе и в обществах с ограниченной ответственностью (ООО), и включается в кадровый документооборот организации.

Важно. С копией Положения о персональных данных под расписку должны быть ознакомлены все сотрудники(п.п. 6 п. 1 ст. 18.1 закона № 152-ФЗ).

1. Общие положения.
2. Документы, содержащие информацию о личных сведениях о сотруднике:
   • документы, связанные с семьей сотрудника;
   • о состоянии здоровья сотрудника и родственников первого порядка;
   • документы, подтверждающие право на дополнительные гарантии и компенсации;
   • о беременности сотрудницы и возрасте детей;
   • документы, предъявляемые при трудоустройстве.
3. Обработка личных сведений о сотруднике:
   • получение;
   • хранение информации о работнике;
   • использование личных сведений;
   • доступ к данным работника третьих лиц (физических, юридических).
4. Организация защиты персональных данных работника.
5. Обязанности работника по обеспечению достоверности его персональных данных.

Также положение может включать приложения.

Последствия нарушения закона

Какова политика Роскомнадзора в отношении обработки данных и обеспечении их безопасности? Работодатели организаций могут получать письма от Роскомнадзора, которые предупреждают о возможности при проверке получить серьезные штрафы за нарушение закона № 152-ФЗ от 27.07.2006 «О персональных данных» .

За нарушение закона предусмотрены меры дисциплинарной, материальной, административной и уголовной ответственности. Административная ответственность предусмотрена ст. 13.11 и 13.14 КоАП. Материальная ответственность в виде штрафов составляет:

• для должностных лиц 500 – 1000 руб.;
• для организации 5000 – 10 000 руб.;
• для должностных лиц (в связи с исполнением служебных обязанностей) 4000 – 5000 руб.

Пошаговая инструкция по составлению

В документе обязательно освещаются такие факторы:

1. Порядок хранения.

   Работодателю необходимо составлять правила, касающиеся порядка хранения и использования информации, опираясь на Федеральный закон. Эти правила закрепляются в нормативном акте, чаще всего это «Положение о защите персональных данных работников».

   Личная информация о работниках хранится в особых папках в специально отведенных помещениях с личными делами сотрудников. Еще один способ хранения – электронные базы (в таком случае нужно иметь резервную копию).

2. Использование.

   Утверждается в том же нормативном акте – Положении. Информация может использоваться только для решения рабочих вопросов. Передавать ее третьим лицам разрешается только после уведомления в этом сотрудника и его письменного согласия, учитывая, что передавать можно лишь ту информацию, которая требуются для решения той или иной проблемы.

   Если использование данных касается таких вопросов, как занесение в личное дело, сотрудника не нужно.

   Важно. Перед началом использования данных, находящихся на хранении, необходимо уведомить Роскомнадзор.

Подробнее об основных принципах и понятиях при работе Роскомнадзора с персональными данными и обращениями граждан читайте .

3. Разграничение прав доступа к обрабатываемым данным.

   Доступ к личным сведениям имеют только уполномоченные лица. Информация об этом должна содержаться в определенных или инструкциях.

   С письменного разрешения сотрудников могут существовать списки с их личными сведениями (инициалы, телефоны, адреса).

4. 
   Общие положения.

   В данном разделе допустимо ссылаться на ФЗ «О персональных данных» №152 , Трудовой кодекс и Конституцию РФ. Также стоит определить порядок обработки информации о сотрудникахорганизации.

5. Сведения об обработке персональных данных.

   В этом разделе необходимо подробно расписать, каким образом будет использоваться и храниться личная информация сотрудника. Составление раздела об использовании производится с опорой на Федеральный закон и Трудовой кодекс. Хранение осуществляется особым образом (см. пункт 1).

6. Права и обязанности.

   Работник обладает правами, закрепленными в Трудовом кодексе. Он может:

   • знать характер информации, хранящейся у работодателя, ее содержание, а также способ сбора и обработки;
   • иметь возможность доступа к личной информации;
   • получать медицинские данные о своем здоровье;
   • иметь возможность корректировать или исключать неверную информацию о себе;
   • иметь информацию о манипуляциях со своими личными данными;
   • определять представителей для защиты ;
   • обращаться в суд при обнаружении неправомерных действий работодателя.

   Работник обязан предоставлять верные сведения о себе.

7. 
   Ответственность.

   Непосредственный доступ к личным сведениям всех сотрудников имеют , именно они будут нести ответственность в случае утечки данных. За это сотрудник может быть привлечен к следующим видам ответственности (ст.90 ТК РФ):

   • дисциплинарная (применяется работодателем при допущении сотрудником небольшого проступка, не приводящего к серьезным последствиям; сотруднику может быть сделан выговор, применено взыскание или осуществлено увольнение);
   • материальная (применяется к сотруднику в случае, если работодатель вынужден был компенсировать урон, нанесенный работнику, чьи персональные данные были разглашены);
   • административная (штраф в этом случае составляет 3-5 МРОТ, что указано в ст. 13.11 КоАП РФ);
   • гражданско-правовая (в предусмотрена денежная компенсация за моральный ущерб потерпевшему гражданину);
   • уголовная (если утечка информации наносит непоправимый вред правам и интересам гражданина, в соответствии со ст. 137 УК РФ применяется уголовная ответственность).
8. Заключительные положения.

   В заключительном положении указывается время вступления Положения в силу и утверждение руководителем организации.

Подробнее о сборе личных сведений в медицинском учреждении и согласии пациента на обработку персональных данных читайте .

Для чего нужна комиссия?

Комиссия является коллегиальным органом, во главе которой стоит председатель. Состав комиссии определяется руководителем организации. Задача комиссии состоит в создании мер по личных сведений при обработке, а также в проведении соблюдения законодательства о защите . Комиссия участвует в проверке документов, определяющих защиту персональной информации , с целью выявления нарушений.

Обо всех изменениях, которые касаются личных сведений, комиссия также должна оповестить сотрудников.

Комиссия осуществляет свою деятельность в соответствии с разрабатываемыми им регламентом и планом работы. Результаты работы предоставляются руководителю предприятия.

Что такое лист ознакомления?

Лист ознакомления составляется для оповещения работников с положением о неразглашении конфиденциальных сведений и об особенностях их обработки (а об обязательстве о неразглашении ПД читайте ). Предприятие вправе разработать лист ознакомления, в котором обязательно указывается: полное название предприятия, суть приказа и составляется таблица.

В таблице нужно указать порядковый номер, ФИО работника полностью, должность прописывается без сокращений. Сотрудник расписывается и ставит дату на момент ознакомления. Печать на таком документе не требуется. Хранится лист ознакомления вместе с положением, с которым знакомился сотрудник.

Утверждение должно производиться только после согласования его с профсоюзом или другим органом, представляющим интересы работников. После передачи документа профсоюзу, в течении 5 дней должно быть вынесено решение в письменном виде. Если будет несогласие, то вместе с решением предлагают предложения.

Далее после рассмотрения всех разногласий, администрация имеет право принять документ в первоначальном виде, без изменений. В случае, отсутствия профсоюза или другого органа администрация утверждает Положение о персональных данных самостоятельно.

Для чего нужно приложение?

Приложение составляется для перечисления лиц, которые могут запрашивать личные сведения служащих. Это могут быть сотрудники кадровой службы, руководители предприятия. В приложении указывается название предприятия, дата составления, список уполномоченных лиц и занимаемую ими должность.

Положение о персональных данных должно быть составлено в строгом соответствии с Федеральным законом № 152-ФЗ «О персональных данных» . При разработке Положения его содержание согласуется с руководителями всех отделов, причастных к обработке данных. Готовый документ утверждается приказом руководителя.

Персональные данные работника и меры по их охране

Определение термина «персональные данные» для трудовой сферы до 07.05.2013 содержалось в ст. 85 ТК РФ. В качестве таковых указывались исключительно сведения, требующиеся и полученные работодателем в связи с трудовой деятельностью субъекта.

Сейчас данная норма исключена, а толкование понятия персональных данных содержится в ФЗ «О персональных данных» от 27.07.2006 № 152-ФЗ: это вся информация, относящаяся к физлицу.

Работодатель как субъект, осуществляющий обработку личных сведений, обязан гарантировать защиту такой информации от противоправного доступа и использования.

Примеры документов, включающих персональные данные:

• карточка сотрудника (форма Т-2) содержит Ф.И.О. лица, сведения о семье, оконченных учебных заведениях;
• в трудовой книжке указаны стаж, предшествующие места работы;
• трудовой договор содержит название должности, размер вознаграждения и т.д.

Ст. 86 ТК РФ отмечает, что единственным источником личных сведений может выступать сам сотрудник. Когда такими данными обладает постороннее лицо, получить их допускается при условии, что на это согласен работник.

ВАЖНО! Грубым нарушением закона является сам факт необеспечения сохранности документации, содержащей персональную информацию, вне зависимости от наступления для лица негативных последствий (определение Челябинского облсуда от 14.03.2016 № 11-1913/2016).

Нюансы составления положения о работе с персональными данными (2018-2019)

В ст. 87 Трудового кодекса и ст. 18.1 закона зафиксирована обязанность работодателя по формулировке и закреплению во внутренних актах порядка обработки, хранения личных данных персонала, перечня шагов по их защите. Указанным документом чаще всего является положение об обработке персональных данных работников.

Закон не предъявляет специфических требований к составлению локального акта. На практике в него включается следующая информация:

• общие нормы, содержащие предназначение акта, ссылки на нормативную основу его разработки;
• состав личных сведений, список их носителей;
• права работника по контролю за обращением с его личной информацией;
• меры, которые требуется предпринимать организации для защиты сведений, порядок обработки, использования;
• последовательность действий при передаче персональной информации;
• список сотрудников, обладающих доступом;
• санкции за неисполнение правил обращения с рассматриваемыми сведениями.

Положение о персональных данных работников подлежит утверждению приказом руководителя юрлица.

ВАЖНО! Всем работникам указанный акт предоставляется для ознакомления, для чего может быть заведен специальный журнал с перечнем работающих в компании субъектов, где каждый ставит подпись после прочтения правил.

Образец положения о работе с персональными данными можно скачать по ссылке: /filemanager/download/4803">Положение о работе с персональными данными (образец-2018-2019).

Работодатель, выступая субъектом, получающим и обрабатывающим личную информацию персонала, обязан принять необходимые меры для ее защиты при обработке, хранении, использовании. Соответствующие меры регламентируются положением о персональных данных, предоставляемым для ознакомления всем работникам.

1. Общие положения

1.1. Целью данного Положения является защита персональных данных работников от несанкционированного доступа, неправомерного их использования или утраты.

1.2. Настоящее Положение разработано на основании статей Конституции РФ, Трудового Кодекса РФ, Кодекса об административных правонарушениях РФ, Гражданского Кодекса РФ, Уголовного Кодекса РФ, а также Федерального закона "Об информации, информатизации и защите информации"

1.3. Персональные данные относятся к категории конфиденциальной информации. Режим конфиденциальности персональных данных снимается в случаях обезличивания или по истечении 75 лет срока хранения, если иное не определено законом.

1.4. Настоящее Положение утверждается и вводится в действие приказом генерального директора и является обязательным для исполнения всеми работниками, имеющими доступ к персональным данным сотрудников.

2. Понятие и состав персональных данных

2.1. Персональные данные работника - информация, необходимая работодателю в связи с трудовыми отношениями и касающиеся конкретного работника. Под информацией о работниках понимаются сведения о фактах, событиях и обстоятельствах жизни работника, позволяющие идентифицировать его личность.

2.2. В состав персональных данных работника входят:

Анкетные и биографические данные;

Образование;

Сведения о трудовом и общем стаже;

Сведения о составе семьи;

Паспортные данные;

Сведения о воинском учете;

Сведения о заработной плате сотрудника;

Сведения о социальных льготах;

Специальность,

Занимаемая должность;

Наличие судимостей;

Адрес места жительства;

Домашний телефон;

Место работы или учебы членов семьи и родственников;

Характер взаимоотношений в семье;

Состав декларируемых сведений о наличии материальных ценностей;

Подлинники и копии приказов по личному составу;

Личные дела и трудовые книжки сотрудников;

Основания к приказам по личному составу;

Копии отчетов, направляемые в органы статистики.

2.3. Данные документы являются конфиденциальными, хотя, учитывая их массовость и единое место обработки и хранения - соответствующий гриф ограничения на них не ставится.

3. Обработка персональных данных

3.1. Под обработкой персональных данных работника понимается получение, хранение, комбинирование, передача или любое другое использование персональных данных работника.

3.2. В целях обеспечения прав и свобод человека и гражданина работодатель и его представители при обработке персональных данных работника обязаны соблюдать следующие общие требования:

3.2.1. Обработка персональных данных работника может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества.

3.2.2. При определении объема и содержания обрабатываемых персональных данных работника работодатель должен руководствоваться Конституцией Российской Федерации, Трудовым Кодексом и иными федеральными законами.

3.2.3. Получение персональных данных может осуществляться как путем представления их самим работником, так и путем получения их из иных источников.

3.2.4. Персональные данные следует получать у него самого. Если персональные данные работника возможно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Работодатель должен сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а так же о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение.

3.2.5. Работодатель не имеет права получать и обрабатывать персональные данные работника о его политических, религиозных и иных убеждениях и частной жизни. В случаях, непосредственно связанных с вопросами трудовых отношений данные о частной жизни работника (информация о жизнедеятельности в сфере семейных бытовых, личных отношений) могут быть получены и обработаны работодателем только с его письменного согласия.

3.2.6. Работодатель не имеет право получать и обрабатывать персональные данные работника о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных федеральным законом.

3.3. К обработке, передаче и хранению персональных данных работника могут иметь доступ сотрудники:

Бухгалтерии;

Сотрудники службы управления персоналом;

Сотрудники компьютерных отделов.

3.4. Использование персональных данных возможно только в соответствии с целями, определившими их получение.

3.4.1. Персональные данные не могут быть использованы в целях причинения имущественного и морального вреда гражданам, затруднения реализации прав и свобод граждан Российской Федерации. Ограничение прав граждан Российской Федерации на основе использования информации об их социальном происхождении, о расовой, национальной, языковой, религиозной и партийной принадлежности запрещено и карается в соответствии с законодательством.

3.5. Передача персональных данных работника возможна только с согласия работника или в случаях, прямо предусмотренных законодательством.

3.5.1. При передаче персональных данных работника работодатель должен соблюдать следующие требования:

Не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в случаях, установленных федеральным законом;

Не сообщать персональные данные работника в коммерческих целях без его письменного согласия;

Предупредить лиц, получающих персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные работника, обязаны соблюдать режим секретности (конфиденциальности). Данное положение не распространяется на обмен персональными данными работников в порядке, установленном федеральными законами;

Разрешать доступ к персональным данным работников только специально уполномоченным лицам, определенным приказом по организации, при этом указанные лица должны иметь право получать только те персональные данные работника, которые необходимы для выполнения конкретных функций;

Не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции;

Передавать персональные данные работника представителям работников в порядке, установленном Трудовым Кодексом, и ограничивать эту информацию только теми персональными данными работника, которые необходимы для выполнения указанными представителями их функций.

3.5.2. Передача персональных данных от держателя или его представителей внешнему потребителю может допускаться в минимальных объемах и только в целях выполнения задач, соответствующих объективной причине сбора этих данных.

3.5.3. При передаче персональных данных работника потребителям (в том числе и в коммерческих целях) за пределы организации работодатель не должен сообщать эти данные третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника или в случаях, установленных федеральным законом.

3.6. Все меры конфиденциальности при сборе, обработке и хранении персональных данных сотрудника распространяются как на бумажные, так и на электронные (автоматизированные) носители информации.

3.7. Не допускается отвечать на вопросы, связанные с передачей персональной информации по телефону или факсу.

3.8. Хранение персональных данных должно происходить в порядке, исключающем их утрату или их неправомерное использование.

3.9. При принятии решений, затрагивающих интересы работника, работодатель не имеет права основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного получения. Работодатель учитывает личные качества работника, его добросовестный и эффективный труд.

4. Доступ к персональным данным

4.1. Внутренний доступ (доступ внутри организации).

4.1.1. Право доступа к персональным данным сотрудника имеют:

Генеральный директор организации;

Руководители структурных подразделений по направлению деятельности (доступ к личным данным только сотрудников своего подразделения);

При переводе из одного структурного подразделения в другое, доступ к персональным данным сотрудника может иметь руководитель нового подразделения;

Сам работник, носитель данных.

Другие сотрудники организации при выполнении ими своих служебных обязанностей.

4.1.2. Перечень лиц, имеющих доступ к персональным данным работников, определяется приказом генерального директора организации.

4.2. Внешний доступ.

4.2.1. К числу массовых потребителей персональных данных вне организации можно отнести государственные и негосударственные функциональные структуры:

Налоговые инспекции;

Правоохранительные органы;

Органы статистики;

Страховые агентства;

Военкоматы;

Органы социального страхования;

Пенсионные фонды;

Подразделения муниципальных органов управления;

4.2.2. Надзорно-контрольные органы имеют доступ к информации только в сфере своей компетенции.

4.2.3. Организации, в которые сотрудник может осуществлять перечисления денежных средств (страховые компании, негосударственные пенсионные фонды, благотворительные организации, кредитные учреждения), могут получить доступ к персональным данным работника только в случае его письменного разрешения.

4.2.4. Другие организации.

Сведения о работающем сотруднике или уже уволенном могут быть предоставлены другой организации только с письменного запроса на бланке организации, с приложением копии нотариально заверенного заявления работника.

Персональные данные сотрудника могут быть предоставлены родственникам или членам его семьи только с письменного разрешения самого сотрудника.

В случае развода бывшая супруга (супруг) имеют право обратиться в организацию с письменным запросом о размере заработной платы сотрудника без его согласия. (УК РФ).

5. Защита персональных данных

5.1. Под угрозой или опасностью утраты персональных данных понимается единичное или комплексное, реальное или потенциальное, активное или пассивное проявление злоумышленных возможностей внешних или внутренних источников угрозы создавать неблагоприятные события, оказывать дестабилизирующее воздействие на защищаемую информацию.

5.2. Риск угрозы любым информационным ресурсам создают стихийные бедствия, экстремальные ситуации, террористические действия, аварии технических средств и линий связи, другие объективные обстоятельства, а также заинтересованные и незаинтересованные в возникновении угрозы лица.

5.3. Защита персональных данных представляет собой жестко регламентированный и динамически технологический процесс, предупреждающий нарушение доступности, целостности, достоверности и конфиденциальности персональных данных и, в конечном счете, обеспечивающий достаточно надежную безопасность информации в процессе управленческой и производственной деятельности компании.

5.4. Защита персональных данных работника от неправомерного их использования или утраты должна быть обеспечена работодателем за счет его средств в порядке, установленном федеральным законом.

5.5. "Внутренняя защита".

5.5.1. Основным виновником несанкционированного доступа к персональным данным является, как правило, персонал, работающий с документами и базами данных. Регламентация доступа персонала к конфиденциальным сведениям, документам и базам данных входит в число основных направлений организационной защиты информации и предназначена для разграничения полномочий между руководителями и специалистами организации.

5.5.2. Для обеспечении внутренней защиты персональных данных работников необходимо соблюдать ряд мер:

Ограничение и регламентация состава работников, функциональные обязанности которых требуют конфиденциальных знаний;

Строгое избирательное и обоснованное распределение документов и информации между работниками;

Рациональное размещение рабочих мест работников, при котором исключалось бы бесконтрольное использование защищаемой информации;

Знание работником требований нормативно - методических документов по защите информации и сохранении тайны;

Наличие необходимых условий в помещении для работы с конфиденциальными документами и базами данных;

Определение и регламентация состава работников, имеющих право доступа (входа) в помещение, в котором находится вычислительная техника;

Организация порядка уничтожения информации;

Своевременное выявление нарушения требований разрешительной системы доступа работниками подразделения;

Воспитательная и разъяснительная работа с сотрудниками подразделения по предупреждению утраты ценных сведений при работе с конфиденциальными документами;

Не допускается выдача личных дел сотрудников на рабочие места руководителей. Личные дела могут выдаваться на рабочие места только генеральному директору, работникам отдела персонала и в исключительных случаях, по письменному разрешению генерального директора, - руководителю структурного подразделения. (например, при подготовке материалов для аттестации работника).

5.5.3. Защита персональных данных сотрудника на электронных носителях.

Все папки, содержащие персональные данные сотрудника, должны быть защищены паролем, который сообщается руководителю службы управления персоналом и руководителю службы информационных технологий

5.6. "Внешняя защита".

5.6.1. Для защиты конфиденциальной информации создаются целенаправленные неблагоприятные условия и труднопреодолимые препятствия для лица, пытающегося совершить несанкционированный доступ и овладение информацией. Целью и результатом несанкционированного доступа к информационным ресурсам может быть не только овладение ценными сведениями и их использование, но и их видоизменение, уничтожение, внесение вируса, подмена, фальсификация содержания реквизитов документа и др.

5.6.2. Под посторонним лицом понимается любое лицо, не имеющее непосредственного отношения к деятельности компании, посетители, работники других организационных структур. Посторонние лица не должны знать распределение функций, рабочие процессы, технологию составления, оформления, ведения и хранения документов, дел и рабочих материалов в отделе персонала.

5.6.3. Для обеспечения внешней защиты персональных данных сотрудников необходимо соблюдать ряд мер:

Порядок приема, учета и контроля деятельности посетителей;

Пропускной режим организации;

Учет и порядок выдачи удостоверений;

Технические средства охраны, сигнализации;

Порядок охраны территории, зданий, помещений, транспортных средств;

Требования к защите информации при интервьюировании и собеседованиях.

5.7. Все лица, связанные с получением, обработкой и защитой персональных данных, обязаны подписать обязательство о неразглашении персональных данных работников.

5.8. По возможности персональные данные обезличиваются.

5.9. Кроме мер защиты персональных данных, установленных законодательством, работодатели, работники и их представители могут вырабатывать совместные меры защиты персональных данных работников.

6. Права и обязанности работника

6.1. Закрепление прав работника, регламентирующих защиту его персональных данных, обеспечивает сохранность полной и точной информации о нем.

6.2. Работники и их представители должны быть ознакомлены под расписку с документами организации, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области.

6.3. В целях защиты персональных данных, хранящихся у работодателя, работник имеет право:

Требовать исключения или исправления неверных или неполных персональных данных.

На свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные;

Персональные данные оценочного характера дополнить заявлением, выражающим его собственную точку зрения;

Определять своих представителей для защиты своих персональных данных;

На сохранение и защиту своей личной и семейной тайны.

6.4. Работник обязан:

Передавать работодателю или его представителю комплекс достоверных, документированных персональных данных, состав которых установлен Трудовым кодексом РФ.

Своевременно сообщать работодателю об изменении своих персональных данных

6.5. Работники ставят работодателя в известность об изменении фамилии, имени, отчества, даты рождения, что получает отражение в трудовой книжке на основании представленных документов. При необходимости изменяются данные об образовании, профессии, специальности, присвоении нового разряда и пр.

6.6. В целях защиты частной жизни, личной и семейной тайны работники не должны отказываться от своего права на обработку персональных данных только с их согласия, поскольку это может повлечь причинение морального, материального вреда.

7. Ответственность за разглашение конфиденциальной информации, связанной с персональными данными

7.1. Персональная ответственность - одно из главных требований к организации функционирования системы защиты персональной информации и обязательное условие обеспечения эффективности этой системы.

7.2. Юридические и физические лица, в соответствии со своими полномочиями владеющие информацией о гражданах, получающие и использующие ее, несут ответственность в соответствии с законодательством Российской Федерации за нарушение режима защиты, обработки и порядка использования этой информации.

7.3. Руководитель, разрешающий доступ сотрудника к конфиденциальному документу, несет персональную ответственность за данное разрешение.

7.4. Каждый сотрудник организации, получающий для работы конфиденциальный документ, несет единоличную ответственность за сохранность носителя и конфиденциальность информации.

7.5. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных работника, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с федеральными законами.

7.5.1. За неисполнение или ненадлежащее исполнение работником по его вине возложенных на него обязанностей по соблюдению установленного порядка работы со сведениями конфиденциального характера работодатель вправе применять предусмотренные Трудовым Кодексом дисциплинарные взыскания.

7.5.2. Должностные лица, в обязанность которых входит ведение персональных данных сотрудника, обязаны обеспечить каждому возможность ознакомления с документами и материалами, непосредственно затрагивающими его права и свободы, если иное не предусмотрено законом. Неправомерный отказ в предоставлении собранных в установленном порядке документов, либо несвоевременное предоставление таких документов или иной информации в случаях, предусмотренных законом, либо предоставление неполной или заведомо ложной информации - влечет наложение на должностных лиц административного штрафа в размере, определяемом Кодексом об административных правонарушениях.

7.5.3. В соответствии с Гражданским Кодексом лица, незаконными методами получившие информацию, составляющую служебную тайну, обязаны возместить причиненные убытки, причем такая же обязанность возлагается и на работников.

7.5.4. Уголовная ответственность за нарушение неприкосновенности частной жизни (в том числе незаконное собирание или распространение сведений о частной жизни лица, составляющего его личную или семейную тайну, без его согласия), неправомерный доступ к охраняемой законом компьютерной информации, неправомерный отказ в предоставлении собранных в установленном порядке документов и сведений (если эти деяния причинили вред правам и законным интересам граждан), совершенные лицом с использованием своего служебного положения наказывается штрафом, либо лишением права занимать определенные должности или заниматься определенной деятельностью, либо арестом в соответствии с УК РФ.

7.6. Неправомерность деятельности органов государственной власти и организаций по сбору и использованию персональных данных может быть установлена в судебном порядке.

Составил:

менеджер по персоналу Е.Н.Побегайло

СОГЛАСОВАНО

Юрисконсульт

С.Г.Дмитраш

Уже с 1 июля ответственность в сфере защиты персональных данных существенно увеличилась. А у вас в компании есть положение о защите персональных данных работников?

Из статьи вы узнаете:

Персональные данные работников

Как будет называться такой акт, принципиального значения не имеет, но, как правило, работодатель не изобретает что-то новое, а пользуется проторенной дорожкой и утверждает положение о защите персональных данных работников. Это наиболее распространенное наименование локального акта , регулирующего данные вопросы.

Что же относится к персональным данным? Обратившись к статье 3 Закона «О персональных данных», увидим, что к ним относится любая информация, прямо или косвенно относящаяся к физическому лицу. Это, как минимум:

фамилия, имя, отчество;

паспортные данные;

адрес прописки;

дата рождения.

Семейное положение, уровень доходов, место рождения, образование – эта информация также имеет прямое отношение физическому лицу, а, следовательно, признается персональными данными. Причем следует помнить, что закон исчерпывающего перечня этих данных не дает.

Теперь вспомним, какое множество документации работник предоставляет работодателю при оформлении на работу. Из копий этих документов формируется личное дело работника , на данные о работнике делаются ссылки в различных документах компании. Эту информацию работодатель обрабатывает, хранит, использует, передает. Все эти действия регламентированы законом, основной смысл которого – физическое лицо вправе самостоятельно определять, с кем делиться информацией о себе, а с кем нет. А компания-работодатель обязана уважать любое решение и обеспечивать сохранность той информации, которую работник предоставил.

Каким образом происходит сбор, обработка и сохранность информации о физических лицах – как раз и определяет внутренний локальный акт – .

Утверждение положения о защите персональных данных работников

В каком порядке разрабатывать и принимать данный документ, ни один закон нам не подскажет. Руководствоваться здесь следует общим порядком принятия любых локальных актов, где предусмотрено прохождение следующих стадий:

разработка проекта;

согласование его с необходимыми специалистами компании;

утверждение руководителем и введение в действие;

ознакомление всех работников с ним под роспись.

Как правило, обязанность по разработке Положения и поддержанию его в актуальном состоянии возлагается на сотрудников кадровой службы. Утверждается Положение приказом руководителя предприятия, составленном в произвольной форме. Этим же приказом утверждается перечень должностных лиц, допускаемых к работе с персональными данными сотрудников. После утверждения документа он хранится в отделе кадров.

Что же должно содержаться в этом документе? Положение о защите персональных данных работников должно содержать следующую информацию:

• Цели обработки данных о работниках;
• Основные понятия (они, как правило, дублируются с понятиями, указанными законом);
• Принципы, на которых строится работа организации с информацией о работниках; режим доступа к персональным данным, перечень лиц, имеющих такой доступ, порядок его получения;
• Какая конкретно информация о сотрудниках считается в компании персональными данными (здесь необходимо учитывать специфику юридического лица, использующего наемных работников), состав сведений, относящихся к персональным данным работников;
• Права и обязанности субъектов персональных данных, работодателя и лиц, которые будут заниматься сбором, хранением и обработкой персональных данных на предприятии;
• Как, где хранятся сведения о сотрудниках;
• Кто из работников имеет доступ к персональным данным;
• Кто отвечает за сохранность этих сведений;
• Как происходит обработка персональных данных;
• Какие условия соблюдает компания, передавая третьим лицам информацию о сотруднике;
• Как поддерживается актуальность сведений и иные разделы и информация.

Структура Положения о защите персональных данных

Положение разрабатывается с учетом норм, изложенных в гл. 14 ТК РФ «Защита персональных данных работника». Оно может состоять из следующих разделов:

1. Общие положения;
2. Понятие и состав персональных данных;
3. Обязанности работодателя;
4. Порядок получения персональных данных работников;
5. Обработка, учет, хранение и передача персональных данных;
6. Доступ к персональным данным;
7. Формирование и ведение личных дел сотрудников;
8. Порядок обеспечения защиты персональных данных;
9. Права и обязанности работника в области защиты его персональных данных.
10. Ответственность работника и работодателя.

Общие положения. В этом разделе указывается цель разработки данного локального нормативного акта, порядок его утверждения и ввода в действие, срок действия, для каких категорий сотрудников он является обязательным для исполнения. Здесь же необходимо дать перечь нормативных актов, на основании которых разработан документ.

Кроме этого, в разделе можно дать перечень используемых терминов и определений, раскрыть их смысловое содержание. В том числе это относится к термину « личное дело работника », при описании которого необходимо привести список тех документов, которые в это дело входят.

Понятие и состав персональных данных . При определении этого понятия необходимо оговорить, что личная информация собирается и обрабатывается работодателем в связи с трудовыми отношениями и необходимостью идентификации личности работника. В этом же разделе нужно привести список тех сведений, которые являются персональными данными, в их число входят не только те данные, которые известны из представленных при поступлении на работу документов, но и, например, такие:

• адрес электронного личного почтового ящика;
• номер дебетовой «зарплатной» пластиковой карты;
• содержание трудового договора и дополнительных соглашений к нему;
• состав сведений о имеющемся в собственности недвижимом имуществе;
• результаты медицинских освидетельствований.

В разделе нужно будет дать перечень тех документов, формируемых в процессе трудовых отношений, которые также могут содержать персональные данные работника и подпадают под это определение. К таким документам, например, можно отнести:

• трудовую книжку;
• трудовой договор;
• приказы по личному составу;
• сертификаты и свидетельства, подтверждающие повышение квалификации, обучение и переобучение;
• копии отчетов по персонифицированному учету, направляемые во внебюджетные фонды и органы статистики.

Обязанности работодателя. В разделе следует оговорить, что в процессе сбора, обработки, учета, хранения и передачи персональной информации о работниках руководитель должен строго соблюдать нормы ТК РФ и законодательства о персональных данных, ограничиваясь исключительно целями содействия работнику при трудоустройстве, в обучении и профессиональном росте.

Порядок получения персональных данных работников должен предусматривать как сбор информации из документальных источников, представленных самим работником так и получение персональных сведений с их письменного согласия . Так, например, только с письменного согласия работника и только в случаях, обусловленных трудовыми отношениями, работодатель может запросить информацию по вопросам семейных, бытовых, личных отношений.

Обратите внимание: Сведения о политических и религиозных убеждениях сотрудника работодатель не имеет права ни запрашивать, ни получать и обрабатывать.

В случаях, когда информацию личного характера можно получить только у третьей стороны, работника необходимо не только оповестить об этом заранее, но и получить у него письменное согласие . При уведомлении работодатель обязан информировать сотрудника, с какой целью собираются сведения, их характере и тех последствиях, которые повлечет отказ сотрудника о предоставлении данных сведений.

Обработка, учет, хранение и передача персональных данных. В данном разделе указываются цели с которыми собираются и обрабатываются личные данные сотрудников. Устанавливается единый режим действий с любой информацией, как на бумажных, так и на электронных носителях. В разделе необходимо оговорить те меры, которые принимает работодатель по ограничению доступа, обеспечению сохранности и целостности вверенных ему персональных данных, в том числе, личных дел и личных карточек работников.

Доступ к персональным данным . В этом разделе необходимо привести перечень должностей, для которых устанавливается неограниченный доступ к персональным данным работников, а также тех должностей, которые имеют ограниченное право доступа. К первым, как правило, относится:

• директор предприятия и руководитель структурного подразделения, в котором трудится работник;
• сотрудник, непосредственный владелец персональных данных;
• руководитель и работник кадровой службы, ответственный за ведение личных дел и личных карточек сотрудников.

В числе лиц, имеющих ограниченный доступ, можно перечислить:

• сотрудников службы кадров и службы по персоналу;
• сотрудников бухгалтерии, которым необходимы личные данные сотрудников для выполнения некоторых функций.

Кроме этого, в разделе можно дать список лиц, которым, при соблюдении требований закона, могут быть переданы личные данные сотрудников. К таковым можно отнести:

• внебюджетные фонды и органы статистики;
• налоговые органы;
• правоохранительные органы;
• органы социального страхования;
• органы воинского учета;
• органы исполнительной власти.

Отдельно следует оговорить основания, процедуру и порядок передачи третьим лицам сведений персонального учета.

Формирование и ведение личных дел . В данном разделе нужно установить порядок формирования личного дела работника и состав документов , которые в него входят Кроме того, необходимо дать ссылку на локальный регламент, устанавливающий порядок ведения и хранения личных дел. Если такого локального акта на предприятии нет, регламентировать порядок ведения и хранения личных дел можно данным разделом Положения о защите персональных данных.

Порядок обеспечения защиты персональных данных . Здесь приводятся меры, предпринимаемые работодателем для обеспечения внутренней и внешней защиты личной информации сотрудников. Разделом устанавливается обязанность всех лиц, имеющих допуск к таким данным, оформить обязательство о их неразглашении .
Права и обязанности работника в области защиты его персональных данных . При написании этой части Положения следует руководствоваться ст. 89 ТК РФ, раскрывающей права работника в рассматриваемой области.

Ответственность работника и работодателя . Разделом необходимо предусмотреть те виды ответственности, которые предусмотрены за нарушение правил учета, ведения и хранения персональных данных работников. В данном случае для нарушителей предусматривается дисциплинарная, административная, гражданско-правовая и уголовная ответственность.

При этом в отношении работника должна быть установлена ответственность за предоставление недостоверных сведений, подложных документов. При установлении ответственности работодателя следует сослаться на положения ст. 90 ТК РФ, ст. 13.14 КоАП РФ и ст. 137 УК РФ.

Приложениями к Положению могут быть формы согласий на обработку персональных данных, письменных обязательств о неразглашении информации и др.

При подготовке проекта информацию берут из закона. Проблема состоит в том, что в ст. 18.1 Закона о персональных данных перечень мер, с помощью которых обеспечивается защита и сохранность, не является исчерпывающим. Учитывая, что технический прогресс не стоит на месте и все больше используются электронные архивы, электронный обмен данными, в законе мы можем не найти формулировок, подходящих к конкретной компании. Тогда придется описывать процессы и технические средства, которые используются, самостоятельно.

Образцы документов, в частности положение о персональных данных работников, можно скачать

Ответственность за отсутствие локального акта о защите персональных данных

Правонарушение в сфере защиты персональных данных является серьезным с точки зрения законодателя. В ст. 90 ТК РФ указаны виды ответственности – виновные привлекаются к дисциплинарной , материальной, гражданско-правовой, административной и уголовной ответственности.

Судебной практики о наказании виновных должностных лиц организаций достаточно много. Широко применяется ст. 13.11. КоАП РФ, напрямую касающаяся нарушения порядка работы с персональными данными. Штрафы на текущий момент такие: для юридического лица от пяти до десяти тысяч рублей.

Вот уже с 1 июля ситуация изменяется и работодатель может быть подвергнут штрафу за эти виды правонарушений в размере аж до 75 тысяч рублей. Расширится и перечень оснований для привлечения к ответственности. Об этом смотрите Федеральный закон от 07.02.2017 № 13-ФЗ.

Таким образом, в свете изменения ситуации с ответственностью, следует серьезно проработать вопросы сбора, использования, передачи и защиты персональных данных работников. Даже если у работодателя имеется локальный нормативный акт , касающийся информации о сотрудниках, стоит внимательно просмотреть его на предмет актуальности, юридической силы, полезности для работодателя.

Скачать в.doc

Закон не установил строгой формы положения о защите персональных данных, но он должен соответствовать требованиям, которые предъявляет к защите персональных данных работника ТК РФ.

Основное содержание положения о защите персональных данных

В положении должно быть указано следующее:

• цель и задачи фирмы в области
• понятие и состав персональных данных;
• в каких структурных подразделениях и на каких носителях (бумажных, электронных) накапливаются и хранятся эти данные;
• как происходит сбор персональных данных;
• как они обрабатываются и используются;
• кто (по должностям) в компании имеет к ним доступ;
• как персональные данные защищаются от несанкционированного доступа;
• права работника в целях обеспечения защиты своих персональных данных;
• ответственность за разглашение конфиденциальной информации, связанной с персональными данными работников.

Как работать с положением о защите персональных данных

Положение о защите персональных данных работника утверждает руководитель фирмы или уполномоченное им лицо. А вводится в действие этот документ приказом руководителя.

Положение о защите персональных данных выглядит так, как показано далее.

Положение о защите персональных данных работников

Каждый работник, который в силу своих должностных обязанностей имеет доступ к персональным данным других работников, должен подписать обязательство об их неразглашении.

Перечень лиц, которые имеют доступ к персональным данным работника, обычно оформляют в виде приложения к положению.

В первую очередь это сотрудники кадровой службы, так как они собирают и формируют данные о работнике, руководители структурных подразделений (например, начальники отделов). Однако последние вправе запрашивать только те данные, которые необходимы для выполнения конкретных трудовых функций (например, чтобы рассчитать льготы по налогам, бухгалтерия получит не все сведения о работнике, а только данные о количестве его иждивенцев). Оформляют приложение так.

Список уполномоченных лиц в получении персональных данных работников

Работодатель обязан с положением о защите персональных данных, а работник – расписаться в этом. Факт ознакомления обычно оформляют распиской, которая остается у работодателя. Вот ее образец.

Расписка об ознакомлении с положением о защите персональных данных работников