Положение о защите персональных данных сотрудников

Содержание
  1. Функции положения о защите персональных данных и порядок его составления
  2. Обработка и защита персональных данных
  3. Функции положения
  4. Порядок написания
  5. Структура
  6. Образец положения
  7. Порядок обработки и хранения информации
  8. Утверждение положения
  9. Уведомление об обработке персональных данных
  10. Ответственность за нарушение правил обработки данных
  11. Положение о защите персональных данных работников: как правильно составить, как утвердить, скачать образец
  12. Для чего необходимо положение о защите персональных данных
  13. Какие данные сотрудников являются персональными
  14. Общие положения
  15. Перечень персональных данных сотрудников
  16. Операции с персональными данными
  17. Доступ к персональным данным
  18. Обязанности работников с доступом к персональным данным
  19. Права работников в отношении операций с персональными данными
  20. Защита персональных данных
  21. Порядок утверждения положения о персональных данных сотрудников
  22. Ответственность за разглашение персональных данных
  23. Защита персональных данных: что надо знать бухгалтеру
  24. Запасаемся бумагами
  25. Каким должно быть содержание Положения
  26. Обязательно ли уведомлять Роскомнадзор?
  27. Персональные данные: изменения в законодательстве
  28. Ответственность за нарушения в работе с персональными данными
  29. Как составить Положение о персональных данных
  30. Согласие на обработку персональных данных

Функции положения о защите персональных данных и порядок его составления

Положение о защите персональных данных сотрудников

Положение о защите о персональных данных работника — обязательный документ, который должен быть в наличии у каждой компании или организации. Он содержит необходимую информацию обо всех сотрудниках, которая понадобится в случае устройства на другую работу. Все сведения собираются только с личного согласия работника на обработку персональных данных.

Обработка и защита персональных данных

Федеральный закон № 152 «О персональных данных» регламентирует взаимодействия сотрудников фирм и отношения, связанные с обработкой предоставляемых работниками сведений. Такие персональные данные являются информацией о конкретном человеке в какой-либо сфере общественной жизни. Чаще всего этот термин можно услышать, устраиваясь на работу в компанию.

Согласно законодательству РФ, персональные данные могут содержать в себе следующие сведения:

  • дата рождения;
  • уровень дохода;
  • документ об образовании;
  • семейный статус;
  • род деятельности;
  • сведения о доходах;
  • место регистрации;
  • ФИО работника;
  • социальный статус.

Кроме того, рекомендуется указывать философские и политические взгляды, расовую принадлежность лица и религиозное мировоззрение.

Обработкой и сбором информации занимается Роскомнадзор. Если права работника были нарушены и его персональные данные были разглашены, то виновное лицо может понести административную или уголовную ответственность.

Функции положения

У работодателя должна хранится вся информация о физическом, психологическом и документальном состоянии работника. Но часто эти сведения находятся под угрозой распространения в неблагоприятных случаях. Именно поэтому положение о защите персональных данных призвано выполнять следующие функции:

  1. Регулирует взаимоотношения работника и работодателя;
  2. Разъясняет запрет распространения данных и предоставления к ним доступа другим лицам;
  3. Защищает права и интересы сотрудника фирмы в непредвиденных ситуациях;
  4. Наказывает по закону граждан, нарушивших данное положение.

Таким образом, данный документ обеспечивает безопасность граждан и гарантирует неразглашение информации об их частной жизни.

Порядок написания

Как только гражданин устраивается на работу, он обязан предоставить следующие документы:

  • СНИЛС;
  • документ, удостоверяющий личность;
  • военный билет;
  • семейное положение;
  • диплом об образовании.

После того, как работодатель принимает данный пакет документов у будущего работника, необходимо продумать понятийный аппарат, который будет частью положения. Далее сведения, относящиеся к персональным данным, используют для заключения трудового договора с сотрудником. При его подписании все личные данные гражданина автоматически вносятся в реестр работодателя и не подлежат разглашению.

В случае необходимости получения сведений не от лица работника, необходимо его личное согласие, официально оформленное на бумаги. Во всех других случаях освещение информации будет считаться правонарушением работающего лица.

Структура

Необходимо соблюдать четкую структуру при написании данного официального документа.

Трудовое законодательство Российской Федерации обязывает каждого работодателя составлять положение о защите персональных данных.

Структуру каждый руководитель определяет для своей организации самостоятельно и индивидуально. Но документ в обязательном порядке должен соответствовать нормам, прописанным в Федеральном законе:

  1. Признается информация, полученная у сотрудника на добровольной основе и только из его уст. Во всех остальных случаях она признается неверной и незаконной, особенно если сведения предоставлены третьими лицами.
  2. Предоставление данных должно производиться с личного письменного согласия сотрудника на обработку и хранение персональной информации.
  3. Документ должен предусматривать цель соблюдения действующего законодательства на территории Российской Федерации и помогать сотрудникам устраиваться на должности.
  4. Положение обязано гарантировать безопасность и неразглашение личных данных каждого сотрудника данной компании, для которой оно составлено.
  5. Работодатель обязуется возмещать все убытки, связанные с утечкой важной информации, за собственные средства.
  6. Положение должны подписать после ознакомления с ним. Только в таком случае данный документ будет иметь юридическую силу.

Кроме того, необходимо утвердить порядок содержания и сбора информации, указать права работника и работодателя. Последним пунктом прописывается юридическая ответственность за неисполнение своих должностных обязательств руководителя в сфере защиты персональных данных.

Образец положения

Положение о защите персональных данных работника является непосредственной гарантией неразглашения важных и личных сведений. В случае неприятных и непредвиденных ситуаций оно помогает восстановить гражданина в своих правах и защитить от причинения морального вреда.

С образцом положения можно ознакомиться ниже:

Скачать образец [18.00 KB]

Порядок обработки и хранения информации

Под обработкой личных сведений сотрудников, согласно ФЗ-152, понимаются данные, связанные с получением, анализом, систематизацией и хранением информации о гражданах конкретной организации. Эта область деятельности предусматривает внесение изменений в реестре при выяснении новых сведений, а также удаление и блокирование старых, недействительных.

Обработка персональных данных должна соответствовать следующим условиям:

  • каждая база данных должна существовать отдельно, совмещать их категорически запрещено;
  • сведения по каждому сотруднику должны быть правдивыми и актуальными на данный период времени;
  • в обязательном порядке база должна включать сведения о времени сбора данной информации;
  • соответствовать всем правовым нормам и нормативно-правовым актам;
  • в базе необходима цель и включать именно те данные, которые предусмотрены этой целью.

Сбор конкретной информации необходим для полноценного функционирования фирмы. Положение о защите персональных данных работников осуществляет правосудие.

Федеральный закон также предусматривает несколько правил для хранения личных данных работников:

  • после окончания срока цели, ставящейся первоначально, все сведения должны быть стерты из базы;
  • система, хранящая всю информацию, должна быть надежно защищена от хакерской и вирусной атаки;
  • необходимо все данные внести в особой форме, позволяющую прочитать информацию конкретного лица;
  • все сети и сервера, предназначенные для хранения, должны быть размещены только на территории Российской Федерации;
  • если срок сбора информации будет превышать цели, то такое хранение личных данных будет признано незаконным.

Утверждение положения

Необходимо наличие специального приказа, который утвердит принятие положения о защите персональных данных. Он должен содержать в себе все личные данные сотрудника, которые даны с его согласия. Сама структура выглядит следующим образом:

  • разъяснение главных и ключевых понятий: понятие персональных данных;
  • описание субъектов, которые могут получать постоянный доступ к информации о работнике;
  • указание сервера/сети/носителя на котором происходит непосредственная обработка и хранение;
  • законные основания для передачи данных о сотруднике третьим лицам;
  • официальные источники личной информации работника;
  • защита сервиса, на котором хранятся все персональные данные сотрудников фирмы, и степень ее надежности;
  • как утверждается положение и на каких основаниях возможно его изменение.

Приказ содержит в себе вводную, основную и заключительную части, которые подтверждают фактическое утверждение положения о защите персональных данных. Он должен быть подписан уполномоченным лицом и утвержден в росреестре. После этого документ обретает нормативно-правовую значимость.

Уведомление об обработке персональных данных

Статья 22 ФЗ № 152 «О персональных данных» регламентирует порядок оформления уведомления. Его необходимо подать в Роскомнадзор для того чтобы сбор персональных данных был официально утвержден и оглашен для сотрудников фирмы.

Далее служба заносит этот документ в свой реестр. Это будет означать, что компания вправе собирать сведения о работниках.

Но есть условия, при которых можно не подавать уведомление:

  1. Данные, полученные гражданином при заключении договора прописываются цели сбора персональных данных и утверждено неразглашение информации;
  2. Если сведения собираются в соответствии с заключенным трудовым договором и трудовыми нормами;
  3. Если договор заключается религиозным объединением или организацией, но данные не должны быть разглашены третьим лицам.

При составлении уведомления необходимо соблюдать особый порядок. Указывается следующая информация:

  • цель необходимой обработки личных данных;
  • категории, к которым относятся сведения о сотрудниках;
  • фамилия, имя и отчество гражданина, собирающего информацию;
  • нормативно-правовые акты, на основании которых оформлено уведомление;
  • систематизация субъектов, информация о которых проходит обработку;
  • применяемые способы и методы;
  • дата начала обработки информации;
  • период сбора необходимых сведений.

Уведомление рассматривается Роскомнадзором и выносится решение о том, может ли организация оставлять за собой право собирать и хранить информацию о работниках, или же нет.

Ответственность за нарушение правил обработки данных

Если юридическое лицо нарушило законодательные нормы данной сферы права, то ему предусмотрена юридическая ответственность. В зависимости от обстоятельств и от тяжести совершенного деяния, компанию могут судить как по Административному кодексу РФ, так и по Уголовному. В качестве наказания самыми основными является штраф (административное) и тюремное заключение (уголовное).

Вид ответственностиДействия/бездействияНаказание
Административная ответственностьНепредоставление необходимой по закону информацииВзыскание в размере от 5 000 до 10 000 рублей;
Обработка данных без согласия лицаВзыскание в размере от 10 000 до 20 000 рублей;
Сбор данных не соответствующих указанной целиДенежное взыскание размером от 5 000 до 10 000 рублей;
Несоблюдение оператором методов и способов сбора личной информацииПредупреждение или штраф от 3 000 до 6 000 рублей;
Не выполнение условий обеспечения сохранности сведений и их утечкаДенежное взыскание от 4 000 до 10 000 рублей;
Уголовная ответственностьНезаконный сбор информации о субъекте без его персонального согласия и предоставление информации в интернетеНаказывается взысканием до 200 000 рублей, исправительными работами или лишением свободы на 2 года;
Использование служебного положения при совершении того же преступленияПредусмотрен штраф до 300 000 рублей или лишение свободы сроком на 4 года с отчуждением права занимать определенные должности;
Незаконное распространение сведений о лице младше 16 лет по уголовному судопроизводствуКарается денежным взысканием до 300 000 рублей или лишением свободы на 5 лет.
Незаконный доступ лица к персональной информацииИсправительные работы, штраф до 200 000 рублей или лишение свободы на 5 лет.

Эти положения устанавливают ст. 137, 272, 140 УК РФ и ст. 13.11 и 19.7 КоАП РФ.

Смотрите вебинар по защите персональных данных:

Выделите ее и нажмите Ctrl+Enter, чтобы сообщить нам.

Источник: https://naimtruda.com/otnoshen/polozhenie-o-zashhite-personalnyh-dannyh.html

Положение о защите персональных данных работников: как правильно составить, как утвердить, скачать образец

Положение о защите персональных данных сотрудников

Осуществляя деятельность, предприятию или ИП, выступающими работодателями, или работающими с контрагентами — физлицами, приходится иметь дело с их личными данными, которые в соответствии с законодательством подлежат защите. Вся работа с этими сведениями должна регламентироваться, для этого на предприятии создается положение о персональных данных работников.

Для чего необходимо положение о защите персональных данных

Персональные данные — это сведения работника, с которыми предприятию приходится иметь дело каждый день с момента заключения с ними трудового договора и до увольнения.

Ответственные лица на предприятии не только их собирают и хранят, но также периодически обрабатываю и разглашают третьим лицам. Часто это требует осуществляемая деятельность, например, выплата зарплаты на картсчета в банке.

С другой стороны, существующие положения законодательных актов обязывают предприятие, хранить и не допускать разглашения подобной информации.

Чтобы полностью соблюсти положения законодательства, но и в дальнейшем осуществлять свою деятельность предприятие должно разработать Положение о персональных данных, в котором действующие нормы реализуются с учетом работы организации.

Разработать данное Положение необходимо любому хозяйствующему субъекту, который нанимает работников, а вследствие этого имеет дело с их личными данными.

Этот локальный нормативный акт разрабатывается и утверждается точно так же как и все другие внутренние нормативы предприятия. Ответственным за его разработку может выступать руководитель кадрового отдела или же иное должностное лицо, в обязанности с которыми включается работа с этими сведениями.

Проект документа согласуется с различными специалистами организации, профсоюзом, а после этого вводится в действие распоряжением директора. После того как Положение о персональных данных введено в действие, с ним необходимо под роспись ознакомить всех сотрудников.

Фиксировать ознакомление сотрудников с данным локальным документом можно в специальном журнале регистрации или с помощью заполнения отдельных опросных листов.

Внимание! Законодательство устанавливает, что в состав Положения должно входить согласие на обработку личных данных работника. Его необходимо запрашивать у работающего на предприятии человека каждый раз, когда происходит разглашение сведений третьим лицам, например, при составлении доверенности, справок и т. д.

При этом данное согласие сотрудник может отозвать в любой момент, подав на имя своего работодателя соответствующие заявление.

Какие данные сотрудников являются персональными

Нормы законодательства определяют, что включается в состав личных данных человека. Это может быть как информация, напрямую связанная с сотрудником, так и косвенно его затрагивающая.

Сюда включаются:

  • Полные личные данные работника (Ф.И.О.).
  • Сведения о месте и дате появления его на свет.
  • Адрес фактический и по регистрации.
  • Социальное, семейное, имущественное положение.
  • Имеющиеся у работника образование, профессия.
  • Сведения о получаемых сотрудником доходах и т. д.

Кроме закона о ПД, состав персональной информации определяет и ТК РФ. Он включает в состав защищаемой информации сведения, которые позволяют определить человека как работника. Это квалификация, специализация, образование, состояние здоровья человека (в некоторых ситуациях, например, при работе его во вредных условиях), наличии детей.

Список информации, которая может быть отнесена к ПД сотрудника не является закрытым, поэтому каждый субъект, ведущий бизнес, имеет право расширять его, при этом данные категории должны быть обязательно зафиксированы в Положении предприятия.

Внимание! Существует информация о работнике, которая никогда не должна запрашиваться администрацией компании, так как она является сугубо личной. Сюда относится, к примеру, вероисповедание, национальность. Если кто-то попытается узнать подобную информацию, это будет расценивать как попытка вторжения в личную жизнь работника.

Закон не определяет, какие именно сведения и разделы должны быть внесены в документ. Также нигде не оговариваются критерии, по которым необходимо производить оформление. Поэтому, в процессе подготовки этого документа на предприятии нужно учитывать требования ФЗ о персональных данных, а также общие принципы оформления внутренних нормативных актов.

Общие положения

Этот раздел должен содержать цели составления документа, иметь ссылки на законы и другие нормативные акты по работе с персональными данными. Еще здесь нужно описать процесс введения положения в действие, и как именно будут в него вноситься изменения.

Перечень персональных данных сотрудников

Это один из самых важных разделов в положении, поскольку именно он будет определять, какие именно сведения подпадают под понятие персональных.

Составлять этот раздел лучше всего только после того, как от работников получены все необходимые документы и проведен их анализ на предмет содержащихся в них сведений.

Здесь же можно описать внутренние документы, в которых могут содержаться личные данные, и какие также должны подлежать защите.

Операции с персональными данными

В этом разделе нужно описать какие подразделения, либо конкретные лица, получают право на работу с персональными данными. Также здесь нужно конкретно указать носители, на которых могут храниться данные (например, в виде распечаток на бумаге, в электронном виде в базе данных и т.д.)

Доступ к персональным данным

В разделе нужно описать каким образом персональные данные, имеющиеся в компании, могут быть использованы другими работниками, не имеющими на это полномочий. Также в этом разделе необходимо обговорить порядок предоставления имеющихся сведений в другие организации, госорганы, прочим лицам.

Обязанности работников с доступом к персональным данным

В этом разделе нужно описать какие именно действия обязаны выполнять работники, допущенные к личным данным сотрудников компании.

Права работников в отношении операций с персональными данными

Здесь описываются права работников, которые передали компании свои персональные сведения, и тех, кто обладает доступом к таким сведениям в процессе выполнения обязанностей.

Защита персональных данных

В разделе описывается, в каком именно месте и каким образом в компании хранятся полученные персональные данные.

Необходимо подробно указать при помощи каких мер производится защита данных на бумаге (например, архивные шкафы, запирающиеся на ключ, замок с кодовым доступом на двери помещения архива и т. д.).

Также нужно описать, где хранятся и как защищаются данные, имеющиеся в электронном виде.

Порядок утверждения положения о персональных данных сотрудников

Порядок разработки и принятия у данного положения точно такой же, как и у любого другого внутреннего акта предприятия.

Если в компании сформирован профсоюз, то принятие положения должно производиться только после его согласования с данным органом.

Проект документа нужно передать в профсоюз, у которого есть пять дней на его рассмотрение. По истечении этого срока орган должен в письменном виде представить свое мнение о нем.

Мнение органа может выражать несогласие с представленным документом. В этой ситуации вместе с выражением мнения предоставляются предложения по изменению положения. Администрация должна либо принять предлагаемые изменения, либо в срок трех дней провести с органом дополнительные обсуждения.

Если даже после этого согласие достигнуто не было, то обе стороны составляют и подписывают протокол разногласий. После этого шага администрация имеет право принять документ в том виде, как он предлагается. Но надо помнить, что профсоюз при возникновении спорной ситуации может обжаловать принятие положения в суде либо через трудинспекцию.

Если профсоюзный орган в организации не сформирован, но есть другой, представляющий интересы рабочих, то проводить согласование положения нужно с ним.

Если профсоюза нет вообще, то администрация вводит Положение о персональных данных в действие самостоятельно, принимая необходимый приказ. В этом распоряжении нужно проставить дату, с которой нормативный акт начинает действовать, определить ответственных лиц за соблюдение его, отменить предыдущий нормативный акт (если новое положение принимается взамен старого).

бухпроффи

Важно! Если в приказе не указана дата начала действия, то положение приобретает силу с даты подписания распоряжения.

Ответственность за разглашение персональных данных

C 1 июля 2017 года начали действовать поправки к законам и КОАП, которые касаются работы с личными данными. Среди них было существенное увеличение штрафов за нарушения в сфере обработки и хранения сведений о людях.

Закон о персональных данных с 1 июля 2017 года предусматривает следующие штрафы:

  • Так, если производится сбор персональных данных в не предусмотренных законом случаях, либо выполняется обработка несовместимая с целями, указанными в законе, это наказывается предупреждением либо штрафом для простых граждан в сумме 1-3 тыс. р., для должностных лиц — 5-10 тыс. р., для предприятий — 30-50 тыс. р.
  • Если у субъекта, получившего персональные данные, нет согласие на обработку персональных данных от их владельца, хотя оно обязательно должно быть получено, влечет наложение штрафа на граждан в сумме 3-5 тыс. р, на должностных лиц — 10-20 тыс. р., на организации — 15-75 тыс. р.
  • Также поправками была введена ответственность за то, что оператор не опубликовал в открытом доступе документ, описывающий его политику по получению, обработке и хранению личных данных. Это действие влечет за собой штраф на граждан от 700 до 5 тыс. р., на должностных лиц — 3-6 тыс. р., на предпринимателя — 5-10 тыс. р., на организацию — 15-30 тыс. р.
  • Если оператор данных не предоставляет владельцу сведения о том, каким образом производится обработка его данных, влечет наложение на граждан предупреждения либо штрафа в сумме 1-2 тыс. р., на должностных лиц — 4-6 тыс. р., на предпринимателей — 10-15 тыс. р, на компании — 25-40 тыс. р.

Источник: https://buhproffi.ru/dokumenty/polozhenie-o-zashhite-personalnyh-dannyh.html

Защита персональных данных: что надо знать бухгалтеру

Положение о защите персональных данных сотрудников

Ответственность за нарушения в сфере охраны персональных данных законодатель отнесен к административной. Значит, санкции за подобные проступки надо искать в Кодексе об административных правонарушениях.

Заглянув туда, мы обнаружим, что штрафы не так уж и высоки. Согласно статье 13.11 КоАП РФ они составляют 5-10 тысяч рублей для организации и 500-1000 рублей для ее руководителя, если в нарушении есть его вина.

Однако надо учитывать, что этот штраф может налагаться за каждое допущенное нарушение. А правил для тех, кто работает с персональными данными, законодатели установили очень много (них мы подробно поговорим чуть ниже). Так что 10 тысяч рублей штрафа легко могут превратиться в 50 или 100 тысяч рублей даже в рамках одной проверки. А за год эти суммы могут оказаться еще внушительнее.

Раз уж мы затронули вопрос проверок, то сразу скажем, что ведомством, полномочным контролировать соблюдение режима персональных данных, является Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (сокращенно — Роскомнадзор).

Однако права налагать и взыскивать штрафы у этой организации нет. Все материалы по тем проверкам, где обнаружены нарушения, Роскомнадзор передает в прокуратуру. Прокурор уполномочен принимать решения о возбуждении производства по административному правонарушению (п. 1 ст. 28.4 КоАП РФ).

Вопрос же о наложении штрафов решается судьей (п. 1 ст. 23.1 КоАП РФ).

Статистическая справка

По данным Роскомнадзора, всего с момента возложения на эту организацию полномочий по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации нами (т.е. с ноября 2007 года) проведено 3307 проверок.

Результатами этих проверок стали более чем 4500 предписаний об устранении выявленных нарушений, и 7591 протокол об административных правонарушениях.

В 2011 году проведено 1743 проверки — то есть, более половины от общего числа за 4 года! При этом количество плановых и внеплановых (т.е. тех, которые проводятся по жалобам) проверок примерно равно 954 и 789 соответственно. При этом количество жалоб, поступающих от граждан и организаций, также постоянно растет — с 465 в 2009 году до 3240 на 26 декабря 2011 года.

По результатам проверок в 2011 году в прокуратуру было передано около 900 материалов.

Возросли в прошлом году и суммы взыскиваемых штрафов. Так, за период с 2007 по 2009 год к административной ответственности было привлечено всего 37 организаций и взыскано административных штрафов на общую сумму чуть менее 22 тысяч рублей. А на сегодняшний день эта сумма уже превысила 12,5 миллионов рублей. При этом средний размер штрафа не так уж и велик и составляет 3-5 тысяч рублей.

Источник: сайт Роскомнадзора.

Запасаемся бумагами

Итак, с ответственностью за нарушение правил работы с персональными данными мы разобрались. Давайте теперь посмотрим, что же надо сделать организации, дабы избежать штрафов.

Надо отметить, что правила, установленные Федеральным законом от 27.07.06 № 152-ФЗ «О персональных данных», касаются не только тех организаций, которые имеют дело с клиентскими базами данных.

Соблюдать требования этого закона должны все организации, в которых есть хотя бы один работник. Связано это с тем, что к персональным данным законодатели среди прочего отнесли и те сведения, которые предприятие получает от своих сотрудников, принимая их на работу.

А это значит, что организация обязана их защищать в полном соответствии с законом.

Отметим, что закон не делает каких-то различий между тем, на каких носителях в организации существуют документы, содержащие персональные данные.

Так что, и тот работодатель, который внедрил высокотехнологические информационные системы, и тот, который ведет работу с кадровыми документами на бумаге, обязаны принять ряд организационных и технических мер по защите персональных данных сотрудников.

Именно формальное выполнение этих мер в большинстве случаев и контролируют специалисты Роскомнадзора.

Первое, что захотят увидеть проверяющие, — это приказ руководителя о назначении ответственного за работу с персональными данными и обеспечении их защиты. Таким ответственным может быть как конкретное лицо (образец приказа можно скачать здесь), так и подразделение (образец приказа можно скачать здесь). В последнем случае личную ответственность несет руководитель такого подразделения.

Далее потребуется утвердить документ, содержащий перечень персональных данных (образец приказа можно скачать здесь), которые реально используются в деятельности организации. Составляя такой документ, не забудьте включить в него все сведения, которые работник письменно сообщает о себе при поступлении на работу, а также используемые в дальнейшем при оформлении кадровой документации.

В этом перечне должны быть:

  • заявление о приеме на работу;
  • анкета сотрудника;
  • личная карточка;
  • личное дело;
  • трудовой договор;
  • приказы;
  • трудовая книжка;
  • материалы аттестационных комиссий.

Это один раздел перечня. Если же в организации имеется внутренний документооборот, содержащий сведения о сотрудниках (например, отчеты и материалы, которые составляются для акционеров, учредителей, головной организации и т.п.), то эти отчеты тоже нужно включить в перечень.

Помимо этого, в перечне должны быть указаны документы, содержащие те сведения о сотрудниках, которые организация представляет в различные государственные органы (налоговую и трудовую инспекции, органы статистики).

Здесь заметим, что подготовка такого перечня важна не только для соблюдения требований законодательства. Он позволит упорядочить работу с персональными данными внутри организации. Дело в том, что трудоемкость защиты персональных данных напрямую зависит от степени важности обрабатываемых сведений.

Например, информация о политических и религиозных взглядах, личной жизни человека, здоровье, национальности законом отнесена к категориям информации, которые подлежат более надежным методам и средствам защиты, чем данные, идентифицирующие личность.

Поэтому анализ составленного перечня и исключение из него данных, не являющихся безусловно необходимыми в деятельности организации, позволит существенно удешевить систему защиты персональных данных.

Следующий этап работы — подготовка и утверждение списка лиц, допущенных к работе с персональными данными. Этот документ утверждается приказом руководителя и доводится под подпись до всех указанных в нем сотрудников (образец приказа можно скачать здесь).

Еще один документ, который нужно подготовить и утвердить — Положение о работе с персональными данными (примерный образец Положения см. здесь; на основании этого образца нужно составить свое Положение, дополнив его особенностями сбора, обработки и использования персональных данных работников вашей компании).

В Положении о работе с персональными данными нужно детально прописать все требования к получению, хранению, комбинированию, передаче и любому другому использованию персональных данных, а также гарантии по их защите.

С Положением нужно под подпись ознакомить всех сотрудников, включенных в список лиц, допущенных к работе с персональными данными.

Каким должно быть содержание Положения

Что же должно быть зафиксировано в Положении о персональных данных? На практике такой документ обычно состоит из разделов, описывающих каким именно образом в организации должен происходить сбор и обработка персональных данных; кто и в каком порядке имеет доступ к этим данным; какие меры предпринимаются для предотвращения разглашения персональных данных.

Так что начать Положение мы рекомендуем с раздела «Сбор и обработка персональных данных».

В нем обязательно нужно зафиксировать, что персональные данные в организации можно получить и обрабатывать исключительно на основании письменного согласия работника (образец согласия можно скачать здесь).

А значит, не лишним будет сразу разработать и утвердить форму такого заявления. На подпись такое заявление работнику надо давать сразу при приеме на работу. А по действующим сотрудникам такую работу придется провести сразу же после утверждения Положения.

Далее может следовать раздел «Доступ к персональным данным». В нем последовательно описывается порядок доступа к таким данным работников организации и третьих лиц (отдельно родственников, государственных органов, представителей других организаций).

При необходимости тут можно ввести уровни доступа в зависимости от должности сотрудника.

Например, директор и аппарат дирекции имеют доступ ко всем персональным данным; сотрудники бухгалтерии — только к тем сведениям, которые необходимым для расчета заработной платы и налогов; представители кадровой службы — к сведениям, необходимым для оформления кадровой документации и т.п.

Продолжит Положение раздел «Порядок обработки и передачи данных». Здесь надо зафиксировать правила для передачи данных о сотрудниках определенным  органам или лицам.

В случаях, когда передача данных регулируется законодательно (налоговые органы, органы статистики, Пенсионный фонд и т.п.) достаточно сделать ссылки на порядок передачи сведений, установленный законодательством.

Но при этом следует обязательно зафиксировать, кто и в каком порядке вправе готовить данные сведения для передачи в госорганы.

А вот родственникам, членам семьи, страховым компаниям, банкам, благотворительным организациям, негосударственным пенсионным фондам и т. п. персональные данные предоставляются только при наличии письменного согласия работника на каждый конкретный факт передачи данных.

Закончить Положение лучше разделом «Ответственность». Тут изобретать велосипед не нужно — достаточно будет сделать ссылки (или привести целиком) на нормы Трудового кодекса (увольнение за разглашение персональных данных по статье 81 ТК РФ), Кодекса об административных правонарушениях (уже знакомая нам статья 13.11 КоАП РФ) и, если есть такая необходимость  Уголовного кодекса (ст. 137 УК РФ).

Обязательно ли уведомлять Роскомнадзор?

Есть еще один немаловажный момент. Речь идет об уведомлении Роскомнадзора о том, что организация работает с персональными данными. Ситуация тут крайне неоднозначная.

На первый взгляд, закон освобождает от подачи такого уведомления, если обрабатываются только персональные данные сотрудников.

Однако на практике органы Роскомнадзора зачастую требуют предоставлять уведомление, даже если кроме работы с данными сотрудников организация никакой другой работы с персональными данными не ведет. При этом контрольное ведомство пользуется противоречивостью положений закона.

Статья 22 Закона о персональных данных, которая освобождает от необходимости направлять уведомление в части персональных данных сотрудников организации, сформулирована так, что использование данных сотрудников в отношениях с банком при начислении им заработной платы, а также с государственными органами при предоставлении сведений о работниках формально под это исключение не подпадает. Поэтому во избежание лишних споров и штрафов советуем все же направить уведомление.

Источник: https://www.BuhOnline.ru/pub/comments/2012/4/5895

Персональные данные: изменения в законодательстве

Положение о защите персональных данных сотрудников

Согласно Федеральному закону № 152-ФЗ от 27.06.2006, персональными данными считается «любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу».

Под это понятие подпадают практически все сведения, которыми оперирует работодатель: дата рождения работника, семейное положение, образование, домашний адрес и пр.

Эти данные хранятся в личных карточках, активно используются в трудовых договорах и контрактах, приказах, расчетных листках, платежных ведомостях, заявлениях и множестве иных документов.

Получать личные данные работодатель может только из первых рук, то есть от самого человека.

Если лично собрать информацию не удается, ее можно получить через третьих лиц, но с согласия самого сотрудника.

При этом ему следует разъяснить, с какой целью собирается информация, как она будет использоваться и что случится, если сотрудник откажется дать свое согласие на сбор и обработку сведений о себе.

Законодательство ограничивает перечень ситуаций, когда работодатель может собирать данные. В числе основных указаны:

  • сохранение жизни и здоровья подчиненных;
  • помощь в трудоустройстве и образовании;
  • содействие карьерному росту;
  • контроль за выполнением работником его трудовых функций;
  • охрана материальных ценностей;
  • соблюдение исполнения законов.

Ответственность за нарушения в работе с персональными данными

С 1 июля 2017 года ответственность за ошибки в этой сфере серьезно возрастет. Перечень нарушений, за которые работодатель может быть привлечен к ответственности, значительно расширен, а кроме того, увеличены размеры штрафов.

Такие изменения содержит Федеральный закон от 07.02.2017 № 13-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях». Вместо одного вида административной ответственности, который предусматривала ст. 13.

11, в КоАП РФ теперь семь видов, и для каждого — свои штрафы:

  1. Использование персональных данных в не предусмотренных законодательством целях. Административное наказание — предупреждение или штраф: для физических лиц от 1 000 до 3 000 руб., для должностных лиц — от 5 000 до 10 000 руб., для юридических лиц — от 30 000 до 50 000 руб.
  2. Обработка личных сведений без согласия работника. Сюда же относятся случаи, когда в подписанном сотрудником согласии нет перечня сведений, предусмотренных в ч. 4 ст. 9 закона № 152-ФЗ от 27.07.2006. Административное наказание — штрафы: для физических лиц — от 3 000 до 5 000 руб., для должностных лиц — от 10 000 до 20 000 руб., для юридических лиц — от 15 000 до 75 000 руб.
  3. Нарушение режима доступа к политике организации по обработке персональных данных. Работодатель обязан опубликовать в общедоступных источниках документ, в котором обозначена его политика в сфере защиты личной информации работников. Это предусмотрено п. 2 ст. 18.1 закона от № 152-ФЗ 27.07.2006, а с 1 июля будет отдельным правонарушением, которое влечет за собой ответственность в виде предупреждения или штрафов: для физических лиц — от 700 до 1 500 руб., для должностных лиц — от 3 000 до 6 000 руб., для ИП — от 5 000 до 10 000 руб. и для юридических лиц — от 15 000 до 30 000 руб.
  4. Сокрытие от работника информации о целях, сроках и способах сбора, хранения и обработки информации, о третьих лицах, которые будут работать с личными сведениями по поручению работодателя, и пр. В таких случаях работодатель получает предупреждение или выплачивает штраф: физические лица — от 1 000 до 2 000 руб., должностные лица — от 4 000 до 6 000 руб., ИП — от 10 000 до 15 000 руб., юридические лица — от 20 000 до 40 000 руб.
  5. Отказ работодателя заблокировать или уничтожить персональные данные согласно ст. 21 закона № 152-ФЗ от 27.07.2006. Административная ответственность — предупреждение или штраф: для физических лиц — от 1 000 до 2 000 руб., для должностных лиц — от 4 000 до 10 000 руб., для ИП — от 10 000 до 20 000 руб., для юридических лиц — от 25 000 до 45 000 руб.
  6. Отсутствие средств автоматизации для хранения персональных данных, хранение информации только в бумажном виде. Если такой работодатель допустил уничтожение, утечку, несанкционированное копирование и/или распространение личных данных сотрудника, на него налагается штраф: на физических лиц — от 700 до 2 000 руб., на должностных лиц — от 4 000 до 10 000 руб., на ИП — от 10 000 до 20 000 руб., на юридическое лицо — от 25 000 до 50 000 руб.
  7. Несоблюдение или нарушение процедуры обезличивания данных сотрудниками государственных и муниципальных органов власти (Приказ Роскомнадзора от 05.09.2013 № 996 «Об утверждении требований и методов по обезличиванию персональных данных»). Административная ответственность в таком случае грозит должностному лицу в виде предупреждения или штрафа от 3 000 до 6 000 руб.

Законодательство позволяет суммировать штрафы за разные нарушения, поэтому ошибки или небрежное отношение к сведениям о сотрудниках могут обойтись работодателю очень дорого.

А кроме того, с 1 июля 2017 года возбуждать административные дела в части обращения с персональными данными разрешено без участия прокурора — инициировать их смогут должностные лица Роскомнадзора (п.

 58 ч. 2 ст. 28.3 КоАП РФ).

Соблюдать требования законодательства поможет правильно составленное Положение о персональных данных, которое должно закрепить нормы законодательства и конкретизировать их для организации.

Как составить Положение о персональных данных

Закон не оговаривает название, структуру и обязательное содержание документа, работодатель вправе сам определить, как будет выглядеть Положение. Разрабатывая документ, руководитель организации и специалисты кадровой службы должны опираться на указанный выше Федеральный закон № 152-ФЗ, а также на ст. 87 Трудового кодекса РФ.

В Положении о персональных данных стоит отразить:

  1. Общие положения: цели и задачи организации в области защиты персональных данных, круг вопросов, которые регулирует Положение.
  2. Состав персональных данных: сведения, которые работодатель использует в рамках трудовых отношений с работником, перечень документов, в которых такие данные содержатся.
  3. Порядок сбора и обработки информации, включая способы и места хранения, меры защиты от несанкционированного распространения. Помимо прочего, здесь обязательно прописывается требование получать сведения только у самого человека или с его письменного согласия у третьих лиц. Бланк согласия можно оформить как приложение к Положению.
  4. Порядок передачи персональных данных как внутри организации, так и сторонним лицам и государственным органам. Здесь следует отразить законодательную норму передавать личную информацию о работнике третьим лицам только с его письменного согласия. Исключение — если это необходимо для защиты жизни и здоровья работника.
  5. Перечень сотрудников, имеющих доступ к персональным данным. Чаще всего это специалисты кадровой службы, бухгалтеры, руководители структурных подразделений и пр.
  6. Ответственность за разглашение личных данных сотрудников. В разделе стоит указать должности тех, кто несет ответственность за нарушение правил хранения, обработки и передачи персональных данных, а также виды ответственности, предусмотренные законодательством (об изменениях в этой сфере расскажем подробнее чуть ниже).

Положение о защите персональных данных работника и шаблон согласия утверждает руководитель организации. Штамп с подписью, датой утверждения и номером протокола ставится на титульном листе документа. Чтобы ввести Положение в действие, руководитель выпускает отдельный приказ.

С Положением о персональных данных должны быть ознакомлены все сотрудники под роспись. Для этого в организациях часто заводят отдельный журнал с перечнем работающих в компании сотрудников.

Согласие на обработку персональных данных

Это документ, в котором принимаемый на работу человек разрешает будущему работодателю получать необходимую информацию и использовать ее в рамках действующего законодательства.

Согласие на обработку персональных данных оформляйте в программе Контур-Персонал

Узнать больше

Работодатель не имеет права собирать и использовать личную информацию работников без их письменного согласия. Исключение — данные из медицинских учреждений, касающиеся противопоказаний к определенному роду деятельности.

Согласие должно включать в себя следующую информацию (ч. 4 ст. 9 закона № 152-ФЗ от 27.07.2006):

  • ФИО, адрес сотрудника, реквизиты паспорта (или другого удостоверяющего личность документа);
  • ФИО, адрес представителя сотрудника, реквизиты его паспорта (или другого удостоверяющего личность документа), реквизиты доверенности;
  • наименование или ФИО и адрес работодателя, получающего согласие носителя персональных данных;
  • перечень персональных данных, на обработку которых дается согласие;
  • цель обработки персональных данных;
  • перечень действий с персональными данными, на совершение которых дается согласие, общее описание способов обработки этих сведений;
  • срок, в течение которого действует согласие сотрудника, а также способ его отзыва, если иное не установлено федеральным законом.

Документ подписывается работником после знакомства с Положением. Такое же согласие необходимо оформить, если человек разрешает третьим лицам предоставлять информацию о себе.

Работодатель не имеет права принуждать потенциального сотрудника предоставлять о себе какие-либо сведения. Если претендент отказывается подписывать Согласие, организация может пересмотреть решение о приеме такого человека в штат. Отозвать свое согласие может и любой из работающих сотрудников организации (ч. 2 ст. 9 152-ФЗ).

После того как работодатель получил согласие работника на обработку личной информации, он может поручить это третьему лицу, однако ответственность за сохранность сведений все равно лежит на работодателе.

Сферы защиты персональных данных коснулись действительно масштабные изменения, и работодателю следует быть вдвойне внимательным как при составлении Положения, так и при работе с личной информацией по сотрудникам. Помните, чем подробнее и конкретнее прописано Положение о персональных данных, тем четче в организации будет выстроена работа на этом участке кадрового учета.

Источник: https://kontur.ru/articles/4811

Все HR- сотруднику
Добавить комментарий

;-) :| :x :twisted: :smile: :shock: :sad: :roll: :razz: :oops: :o :mrgreen: :lol: :idea: :grin: :evil: :cry: :cool: :arrow: :???: :?: :!: