Здравствуйте, в этой статье мы постараемся ответить на вопрос: «Как теперь владельцу бизнеса работать с персональными данными». Если у Вас нет времени на чтение или статья не полностью решает Вашу проблему, можете получить онлайн консультацию квалифицированного юриста в форме ниже.
Соблюдение требований Федерального закона от 27.07.2006 № 152‑ФЗ «О персональных данных» 1 обеспечивается комплексом организационных и технологических мероприятий. В реализации организационных мер активную роль играют службы делопроизводства и кадров. В связи со вступлением в силу с 1 марта 2021 года изменений в Закон № 152‑ФЗ служба делопроизводства может стать активным участником внутренних процедур аудита системы работы с персональными данными в организации.
Какие есть требования к согласию на обработку ПД
Согласие на обработку персональных данных должно быть предметным и однозначным, в частности, в отношении:
- цели обработки персональных данных;
- перечня персональных данных, на обработку которых даёт согласие их субъект;
- наименования или ФИО и адреса лица, осуществляющих обработку персональных данных по поручению оператора;
- перечня действий с персональными данными, в отношении которых даётся согласие, и описания способов обработки персональных данных, которые использует оператор;
- срока, в течение которого действует согласие субъекта персональных данных и способу его отзыва.
Если субъект ПД отказывается предоставить обязательные персональные данные, ему нужно разъяснить последствия такого отказа (ч. 2 ст. 18 Закона № 152-ФЗ)!
Для каждой цели обработки персональных данных нужно отдельно указывать:
- категории и перечень персональных данных
- категории субъектов, персональные данные которых обрабатываются;
- способы и сроки хранения персональных данных;
- порядок уничтожения персональных данных при достижении целей их обработки (ст. ст. 18.1, 21 Закона № 152-ФЗ).
Как передать обработку ПД третьим лицам
Операторы при определённых условиях могут поручить обработку ПД третьим лицам (ч. 3 ст. 6 Закона № 152-ФЗ). Для этого нужно заключить соответствующий договор. Также обработка может производиться на основе акта государственного или муниципального органа или на основании поручения оператора персональных данных.
В акте необходимо указать:
- перечень обрабатываемых персональных данных;
- обязанность третьего лица предоставлять по запросу оператора ПД в течение срока действия поручения документы и иную информацию, подтверждающую осуществление мер и соблюдение требований по их защите;
- обязанность третьего лица соблюдать требования ч. 5 ст. 18, ст. 18.1 Закона № 152-ФЗ, возлагаемые на оператора ПД;
- обязанность третьего лица уведомить оператора ПД о случаях неправомерной или случайной передачи персональных данных в сроки, установленные ч. 3.1 ст. 21 Закона № 152-ФЗ (в те же сроки оператор обязан уведомить об инциденте Роскомнадзор).
Хранение и использование персональных данных
В соответствии со ст. 87 ТК РФ порядок хранения и использования персональных данных работников устанавливается работодателем. Работодатель должен издать соответствующий локальный нормативный акт, регулирующий вопросы хранения и использования персональных данных, а также обеспечивающий защиту последних от неправомерного их использования или утраты. С соответствующим актом, а также со своими правами в сфере защиты персональных данных работники должны быть ознакомлены под подпись.
Работодатель утверждает перечень сотрудников, которые будут обрабатывать персональные данные и которые имеют к ним доступ. Чаще всего это входит в обязанности бухгалтера и кадрового специалиста. Таким сотрудникам будут доступны только те данные, которые необходимы для выполнения конкретных функций, то есть по конкретным направлениям их деятельности (ст. 88 ТК РФ).
Порядок допуска к персональным данным сотрудников закон не устанавливает. Поэтому работодатель вправе определить его самостоятельно и прописать в локальном акте организации, например, в Регламенте допуска работников к обработке персональных данных. В этом документе также необходимо указать конкретный перечень сотрудников, которые имеют доступ к персональным данным других сотрудников.
Также издайте приказ, в котором пропишите должности и фамилии сотрудников, а также закрепленные за ними объекты обработки персональных данных.
Во-первых, вместе с первым руководителем необходимо проверить актуальность приказа о назначении ответственного за организацию работы с персональными данными, поставить его на контроль по сроку действия (с напоминанием 1 раз в полгода о поддержании приказа в актуальном состоянии при смене персоналий). Таким ответственным назначается, как правило, заместитель руководителя организации, и в случае его смены необходимо будет издание нового приказа.
Во-вторых, совместно с уполномоченным заместителем, кадровой службой и даже экспертной комиссией организации по работе с конфиденциальной информацией и документами (образуется, как правило, в крупных организациях) надо решить вопрос:
- о включении в Перечень конфиденциальной информации и документов конкретного списка обрабатываемых и распространяемых (с согласия работников) персональных данных (включая биометрические, особенно личные фото) или
- о разработке в плановом порядке отдельного Перечня персональных данных, в котором необходимо закрепить категории и конкретный список персональных данных, обработку которых работник разрешает (путем оформления согласия) или обработка которых запрещена (с указанием срока действия).
Далее на основе Перечня и с учетом положений о структурных подразделениях (отделах и пр.) и должностных инструкций, которые также подлежат регулярному обновлению, необходимо проверить актуальность приказа о назначении ответственных за обработку персональных данных работников организации. В такой приказ включаются:
- кроме сотрудников кадровой службы,
- бухгалтерии и
- службы делопроизводства
- еще и руководители структурных подразделений,
- а при необходимости – их заместители и секретари подразделений, т. к. они тоже должны получить права доступа к персональным данным работников своих подразделений, о чем работники должны быть уведомлены.
В связи с функциями кадровой службы, бухгалтерии и ИТ-отдела рекомендуем проверить актуальность приказа об утверждении мест хранения материальных носителей персональных данных и соответствующих ответственных за хранение.
Изменения в Закон № 152‑ФЗ – хороший повод проверить актуальность действующих в организации локальных нормативных актов об обработке и защите персональных данных:
- начиная с обязательно публикуемой на сайте Политики обработки и защиты персональных данных, в которой заявляются обязательства оператора,
- и заканчивая Правилами формирования и ведения личных дел, которыми руководствуется кадровая служба (лучше регламентировать этот процесс, если у вас ведутся личные дела).
В Политику необходимо внести актуальные изменения о «разрешенных субъектом персональных данных для распространения» вместо «общедоступных» персональных данных, которые сделал свободно распространяемыми сам субъект.
Защита персональной информации соискателей
Резюме соискателя включает большой объем персональной информации — к ним относятся номер телефона и электронная почта, данные об образовании и о месте жительства.
Роскомнадзор рекомендует работодателям получать согласие на обработку персональных сведений из резюме для обеспечения их защиты. Оно оформляется на время прохождения собеседования, пока не примут окончательное решение.
Согласие не нужно в таких ситуациях:
- резюме соискателя компания получает от агентства по подбору персонала. В этом случае именно агентство обязано защищать персональные данные;
- соискатель сам загружает резюме в открытый доступ, к примеру, на сайте по поиску работы. В этом случае сайт и соискатель совместно несут обязанность по защите персональных данных.
Рекомендации по формированию согласия на обработку персональной информации
Госорганы дают следующие рекомендации:
- В согласии должна четко указываться цель, у которой не должно быть нескольких возможных трактовок. Заявление должно быть полным и конкретным — помимо целей указываются способы и действия, применяемые работодателем к персональной информации работника.
- Согласие на обработку персональной информации должно быть или в качестве отдельного документа, или включено в трудовой договор отдельным пунктом.
- Согласие на обработку персональной информации должно соответствовать требованиям законодательства.
Специалисты Первого БИТа решают задачи, связанные с выполнением требований и стандартов в области информационной безопасности, предъявляемые к организациям внешними регуляторами. К таким задачам относятся:
- Обеспечение защиты персональных данных в соответствии законодательством РФ;
- Введение режима коммерческой тайны, защита служебной тайны;
- Выполнение приказов и рекомендаций Росминздрава, Минобрнауки и др.;
- Аттестация рабочих мест и помещений;
- Консалтинг при получении лицензий ФСТЭК и ФСБ.
Административная ответственность
Меры административной ответственности (в основном предусмотрены штрафы, дисквалификация в данном случае не применяется) для предприятия и его должностных лиц за нарушение порядка получения, обработки, хранения и защиты персональных данных сотрудников приведены в табл. 3.
Таблица 3. Ответственность за нарушение порядка получения, обработки, хранения и защиты персональных данных сотрудников
| Нарушение | Ответственность | Норма законодательства |
| Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) |
Для должностных лиц: от 500 до 1000 руб.; для юридических лиц: от 5000 до 10 000 руб. |
Статья 13.11 КоАП РФ |
| Разглашение информации, доступ к которой ограничен (персональных данных), лицом, получившим к ней доступ в связи с исполнением служебных или профессиональных обязанностей |
Для должностных лиц: от 4000 до 5000 руб. |
Статья 13.14 КоАП РФ |
Рекомендации по составлению Политики
Итак, поскольку обязанность по созданию Политики существует давно, в большинстве организаций она разработана, правда, не факт, что опубликована. Иногда Политику публикуют так, что ее сложно найти. Поэтому организациям следует рассмотреть этот документ с учетом Рекомендаций и при необходимости внести изменения путем утверждения нового документа, разместив его в соответствии с требованиями законодательства. А работодателям, у которых этого документа нет, следует его срочно составить, руководствуясь Рекомендациями.
Обратите внимание: рекомендации изданы в целях выработки унифицированного подхода к структуре и форме документа, определяющего политику оператора в отношении обработки персональных данных.
Итак, исходя из Рекомендаций, в Политику надо включить такие разделы:
Ответственность оператора персональных данных за невыполнение обязанностей
Несоблюдение требований относительно обработки ПДн предполагает привлечение к различным видам ответственности, причем наказать могут как уполномоченного за безопасность информации сотрудника, так и все предприятие. Мера ответственности и способ наказания определяются в зависимости от серьезности нарушения согласно ФЗ-152, а также отдельных статей Трудового, Гражданского, Административного и Уголовного Кодексов Российской Федерации. Это может быть:
- возмещение имущественного и морального вреда;
- увольнение, замечание либо выговор;
- лишение права занимать определенные должности сроком от 2 до 5 лет и более;
- принудительные или исправительные работы;
- арест и лишение свободы;
- штрафные санкции.
Правило 5. Грамотно оформлять документы по работе с ПД
В ряде случаев, например при размещении ПД работника на сайте организации, для обработки разных категорий ПД требуется письменное согласие работника, которое должно включать в себя:
- Ф.И.О. работника, адрес, сведения о документе, удостоверяющем его личность;
- наименование (Ф.И.О.) и адрес работодателя, получающего согласие работника на обработку ПД;
- цель обработки ПД;
- перечень ПД, на обработку которых дается согласие работника;
- перечень действий с ПД, на совершение которых дается согласие, общее описание используемых работодателем способов обработки ПД;
- срок, в течение которого действует согласие, а также порядок его отзыва;
- подпись работника.
Административная ответственность
Меры административной ответственности (в основном предусмотрены штрафы, дисквалификация в данном случае не применяется) для предприятия и его должностных лиц за нарушение порядка получения, обработки, хранения и защиты персональных данных сотрудников приведены в табл. 3.
Таблица 3. Ответственность за нарушение порядка получения, обработки, хранения и защиты персональных данных сотрудников
| Нарушение | Ответственность | Норма законодательства |
| Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) | Для должностных лиц: от 500 до 1000 руб.; для юридических лиц: от 5000 до 10 000 руб. | Статья 13.11 КоАП РФ |
| Разглашение информации, доступ к которой ограничен (персональных данных), лицом, получившим к ней доступ в связи с исполнением служебных или профессиональных обязанностей | Для должностных лиц: от 4000 до 5000 руб. | Статья 13.14 КоАП РФ |
Организация защиты персональных данных
Для защиты персональных данных применяют различные возможности:
-
Технические. Заключаются в программе мероприятий по защите ПО от несанкционированного доступа.
Чтобы защитить ПО, требуется привлечь IT-специалистов, смоделировать угрозы, определить степень защищённости ПДн и обеспечить безопасность.
- Физические. Это ограничение доступа к ПДн посторонних лиц в виде допуска к работе с информацией только определённых сотрудников; внедрения пропускного режима; организации мест хранения данных и иные.
- Организационные и юридические. Предполагают разработку и внедрение компанией политики обработки персональных данных, положения о защите данных, издание приказов о назначении ответственного, осуществление контрольных мероприятий.
Т.В. Кузнецова, проф. РГГУ
- Законодательно-правовые акты, регламентирующие работу с персональными данными.
- Приказ о назначении ответственного за работу с персональными данными.
- Список лиц, допущенных к работе с персональными данными.
- Положение о работе с персональными данными.
Одна из первостепенных задач сегодняшнего дня в каждой организации – регламентация работы с персональными данными.
В Федеральном законе от 27.07.2006 «О персональных данных» (в ред. от 23.12.2010) в ст. 3 главы 6 «Заключительные положения» указано: «Информационные системы персональных данных, созданные до 1 января 2010 г., должны быть приведены в соответствие с требованиями настоящего Федерального закона не позднее 1 июля 2011 года». Эти требования на основании ст. 1 Закона распространяются на всех юридических лиц, осуществляющих обработку персональных данных, как с использованием средств автоматизации, так и без использования таких средств. Служба кадров организации любой организационно-правовой формы обязана привести обработку персональных данных своих работников в соответствии с действующими нормативно-правовыми актами.
К сожалению, такая работа проведена сегодня еще не во всех организациях. Дата 1 июля 2011 г. и есть изменение, внесенное в Закон 23.12.2010. Прежняя дата – 01.01.2011 − оказалась невыполнима, и срок продлен еще на полгода.
В любой организации собирают, хранят и каким-либо образом используют личную информацию своих сотрудников, в учебных заведениях еще и учащихся, в поликлиниках и больницах – пациентов, в нотариальных конторах − клиентов и т. д.
Персональные данные относятся к конфиденциальной информации. Именно с них начинается перечень сведений конфиденциального характера, утвержденный Указом Президента РФ от 06.03.1997 № 188: «Сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность (персональные данные), за исключением сведений, подлежащих распространению в средствах массовой информации в установленных федеральными законами случаях».
Работе с персональными данными отведена глава 14 Трудового кодекса Российской Федерации – «Защита персональных данных работника», в которой дано определение персональных данных работника как «…информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного работника» (ст. 85). Обратите внимание в определении на слова «необходимая работодателю», они означают, что информация о работнике может требоваться в различном объеме в зависимости от специфики организации.
В ст. 86 Трудового кодекса РФ изложены общие требования к обработке персональных данных. Обработка данных может проводиться только с согласия работников. 27 июля 2006 г. подписан отдельный Закон «О персональных данных», и в 2007−2008 гг. выходят постановления Правительства РФ, детализирующие положения Закона:
- от 17.11.2007 № 781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных»;
- от 08.07.2008 № 512 «Об утверждении Требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных»;
- от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».
Следовательно, выполнение требований Закона и постановлений Правительства обязательно как для организаций, применяющих информационные системы при обработке персональных данных, так и организаций, ведущих пока еще работу с документами по традиционным технологиям на бумажных носителях.
Для организации работы с документами, содержащими персональные данные, необходимо провести ряд мероприятий, закрепив их в документах.
Во-первых, следует приказом руководителя назначить лицо или подразделение, если организация крупная и приходится обрабатывать большое количество данных, ответственное за работу с персональными данными и обеспечение их защиты, и наделить их соответствующими полномочиями.
Во-вторых, надо уточнить перечень персональных данных, необходимых для данной организации. Трудоемкость защиты персональных данных напрямую зависит от степени важности обработки сведений. Например, информация о политических и религиозных взглядах, личной жизни человека, здоровье, национальности законом отнесена к категориям информации, которые подлежат более надежным методам и средствам защиты, чем данные, идентифицирующие личность. Следовательно, надо уточнить, какие данные не являются необходимыми для организации, и максимально исключить их из собираемых и, следовательно, обрабатываемых.
В-третьих − подготовить список лиц, допущенных к работе с персональными данными. Список может иметь табличную форму.
|
№ | Должность | Фамилия Имя Отчество | Основания для доступа |
| 1 | 2 | 3 | 4 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Оператор по обработке персональных данных
Согласно Закону N 152-ФЗ лицо (юридическое или физическое), которое организует и (или) осуществляет обработку персональных данных, определяет их состав, цели обработки, действия, совершаемые с персональными данными, называют оператором (п. 2 ст. 3 Закона N 152-ФЗ). В нашем случае это работодатель.
Обработка персональных данных — любое совершаемое с ними действие. Операции по обработке персональных данных:
- сбор;
- запись;
- систематизация;
- накопление;
- хранение;
- уточнение (обновление, изменение);
- извлечение;
- использование;
- передача (распространение, предоставление, доступ);
- обезличивание;
- блокирование;
- удаление;
- уничтожение персональных данных.