Инспектор ГИТ проверит, утвердил ли работодатель Положение о работе с персональными данными. Как составить документ, чтобы его содержание соответствовало закону и готовый образец документа, ищите в статье.

В статье:

Скачайте документы по теме:

Положение о персональных данных работников:2020 образец

В процессе трудоустройства, а зачастую - даже раньше, еще на этапе предварительного анкетирования и собеседования, работник предоставляет работодателю определенные сведения, носящие личный характер. Такая информация относится к категории конфиденциальной и не подлежит разглашению третьим лицам. Более того, далеко не все виды сведений можно запрашивать - к примеру, вопрос о религиозной принадлежности или политических взглядах соискателя будет неуместным на любом собеседовании.

Работодателю разрешено интересоваться только теми аспектами личной жизни сотрудника, которые имеют непосредственное отношение к его работе и способны повлиять на качество ее выполнения.

Определение персональных данных содержится в законе №152-ФЗ от 27.07.2006 г. Это ключевой нормативной документ, на федеральном уровне закрепляющий основные нормы и принципы обращения с информацией личного характера. Согласно ст.3 закона №152-ФЗ, персональными считаются любые данные, относящиеся прямо или косвенно к конкретному субъекту (физическому лицу). Субъект может предоставлять сведения о себе оператору - государственному или муниципальному органу, работодателю (юридическому или физическому лицу).

Положение о работе с персональными данными работников

Оператор не имеет права обрабатывать полученную информацию или разглашать ее третьим лицам без согласия субъекта. Защита персональных данных обеспечивается законодательством РФ: вышеупомянутым федеральным законом №152-ФЗ, отдельными статьями Трудового, Уголовного и Гражданского кодексов РФ, а также ст. 5.39 и 13.11-13.14 Кодекса об административных правонарушениях РФ. Действие этих норм распространяется на организации всех форм собственности.

Каждая компания, собирающая личные сведения о своем персонале, должна составить и утвердить положение о защите персональных данных работников. Так называется локальный нормативный акт, устанавливающий порядок работы с персональными данными в рамках конкретного предприятия согласно требованиям ст. 87 ТК РФ. В сфере государственной гражданской службы разрабатывается «Положение о персональных данных государственного гражданского служащего и ведении его личного дела», как того требует указ президента РФ №609 от 30.05.2005 г.

Чтобы без ошибок оформить Положение об обработке персданных, используйте онлайн-сервис «Системы Кадры»

Воспользоваться сейчас

Основные виды сведений личного характера

Условно весь объем персональных данных о том или ином субъекте можно разделить на пять видов:

• общие;
• общедоступные;
• обезличенные;
• специальные;
• биометрические.

Общей информацией считаются паспортные данные человека (фамилия, имя, отчество, дата рождения, семейное положение), адрес, номер телефона, сведения о полученном образовании и т.д. Актуальное законодательство не содержит исчерпывающего перечня общих данных, зато весьма подробно перечисляет разновидности специальных данных, для которых установлены особые правила сбора, обработки и хранения. К ним относятся сведения о:

• состоянии здоровья;
• интимной жизни;
• наличии судимостей;
• вероисповедании;
• философских и политических убеждениях;
• расовой и национальной принадлежности.

Запрашивать специальные данные для обработки можно лишь в строго определенных случаях - в целях медицинского (с непременным соблюдением врачебной тайны) или страхового обслуживания, для осуществления правосудия, в рамках противодействия терроризму, для защиты жизни или здоровья субъекта. Информация о судимости обрабатывается только при наличии федерального закона, устанавливающего необходимость такой обработки. Кроме того, не возбраняется обрабатывать специальные сведения, если сам субъект дал на это или сделал их общедоступными.

Шпаргалка. Когда персональные данные можно обрабатывать без согласия работника

Внимание! Общедоступной считается информация, размещенная владельцем в публичных источниках - газетах, журналах, адресных и телефонных справочниках, социальных сетях.

Биометрическими называют сведения о физиологических или биологических особенностях конкретного человека: росте, телосложении, отпечатках пальцев, рисунке радужной оболочки глаза, результатах генетических и иных исследований, позволяющих установить его личность. Иногда без них не обойтись. Типичный случай применения «биометрики» описывается в заметке «Может ли работодатель снимать отпечатки пальцев сотрудников для организации пропускного режима»: результаты дактилоскопии позволяют моментально идентифицировать работника, что очень важно при проведении мероприятий с ограниченным допуском.

Обрабатывать и хранить биометрические данные следует в соответствии с постановлением Правительства РФ №512 от 6.07.2008г. После достижения или утраты цели обработки биометрические, специальные и общие персональные данные должны обезличиваться. Установить принадлежность обезличенных сведений (например, обработанных результатов статистических отчетов и опросов) конкретному человеку невозможно.

Внимание! Данные, которые по объективным причинам не получается обезличивать, должны уничтожаться.

Составляя положение о персональных данных работников, не забудьте прописать правила обработки разных видов информации, в том числе - биометрической, если организация ее собирает и использует в работе.

Какие функции выполняет положение о защите персональных данных

Так или иначе, работодатель получает доступ к определенной информации о частной жизни работника. Заполнение , предоставление различных льгот и компенсаций, оформление налогового вычета - вот лишь малый список стандартных процедур, для проведения которых приходится запрашивать у сотрудника сведения о состоянии здоровья, составе семьи и т.д. А раз осуществляется обработка, то необходимо и положение о защите персональных данных (образец документа рассмотрен ниже).

Внимание! Получать личные сведения о сотруднике нужно непосредственно от него, а не от третьих лиц.

Даже в пределах одной организации передавать личные сведения можно только в соответствии с локальным нормативным актом, с которым весь персонал должен предварительно ознакомиться под подпись. Необходимость такого ознакомления закреплена п. 8 ст. 86 ТК РФ.

Положение о персональных данных работников: образец структуры

Само понятие обработки информации охватывает разные виды операций, перечисленные в п.3 ст.3 федерального закона №152-ФЗ. Сначала проводится сбор, запись и систематизация сведений. Далее имеет место их накопление, хранение и использование. Данные можно уточнять, обновлять или изменять, извлекать и передавать. Если нет необходимости в использовании персонализированной информации, ее обезличивают или уничтожают. Поэтому положение о работе с персональными данными работников поделено на разделы, посвященные разным этапам обработки информации:

• общие положения;
• получение и систематизация;
• хранение;
• использование;
• передача;
• гарантии конфиденциальности.

Разумеется, предложенную структуру можно корректировать по мере необходимости - объединять имеющиеся разделы и добавлять новые, включать дополнительные перечни и приложения. Но даже самое простое типовое положение о персональных данных работника представляет собой удобную стартовую заготовку, на базе которой можно разработать полноценный документ, адаптированный к условиям работы конкретного предприятия.

Положение о персональных данных: порядок обработки и хранения информации

Разрабатывая положение о персональных данных, образец можно использовать как основу. Особое внимание следует уделить разделам, посвященным порядку сбора, систематизации и хранения информации. Чем подробнее прописан каждый пункт, тем лучше и безопаснее для работодателя. Если при проводится обязательное анкетирование соискателей, максимально точно опишите процедуру и перечислите конкретные виды запрашиваемых сведений:

Хранение любых носителей личной информации - бумажных, электронных и любых других - предполагает ограничение доступа к ним. В этих целях используются отдельные помещения, сейфы, запирающиеся шкафы, специальные папки и запароленные электронные базы данных. Запрашивать конфиденциальные сведения без особого разрешения может лишь ограниченный круг должностных лиц.

Все эти нюансы нужно внести в положение о защите персональных данных работников. Образец соответствующего раздела будет выглядеть примерно так:

Каждый работник имеет законное право знать, как именно и в каком объеме обрабатываются и используются его персональные данные, а также исправлять или исключать неверные, неполные или обработанные с нарушениями сведения о себе.

Положение о работе с персональными данными работников: образец оформления раздела о передаче сведений

Работодателю разрешается передавать сведения личного характера третьим сторонам, но только при определенных обстоятельствах - например, в целях предупреждения угрозы жизни и здоровью работника или в случаях, предусмотренных федеральными законами. При этом данные не становятся общедоступными, а конфиденциально передаются уполномоченному лицу.

Во всех остальных случаях действует норма, закрепленная ст.7 закона №152-ФЗ и требующая каждый раз, когда возникает такая потребность, запрашивать у субъекта . При этом данные передаются в ограниченном объеме, необходимом для выполнения конкретной функции и не более того.

Обязательно добавьте раздел о правилах передачи конфиденциальной информации в положение о персональных данных работников. Пример оформления раздела выглядит так:

Работодатель должен вести учет выдачи любых сведений личного характера, имеющих отношение к работникам предприятия. С этой целью заводится специальный журнал (книга) либо электронный документ. В идеале записи стоит дублировать, сохраняя и на электронных, и на бумажных носителях.

Как утвердить положение о персональных данных работников: образец приказа

Утвердить положение о защите персональных данных работников можно двумя способами: или же просто предусмотреть на бланке основного документа специальное поле для заверительных реквизитов. Работодатели, не желающие множить количество бумажной работы, обычно предпочитают второй способ и добавляют необходимые поля в «шапку» документа.

Утверждая документ, руководитель организации ставит на нем личную подпись и печать. Если же выбран первый, более трудоемкий способ утверждения, составляется соответствующий распорядительный документ. Он оформляется в общем порядке и, по сути, ничем не отличается от стандартных .

Если ранее работодателем применялась другая редакция положения, при введении в действие новой редакции как образец используется приказ об утверждении Положения о работе с персональными данными или любого другого локального акта.

Приказ об утверждении Положения о работе с персональными данными

Внимание! Если в организации есть юридический отдел или штатный юрисконсульт, рекомендуется согласовать с ним положение о защите персональных данных работников прежде, чем документ отправится для окончательного утверждения к руководителю предприятия.

Уведомление об обработке персональных данных

Помимо ряда основных мер по защите личных данных персонала, законом предусмотрена еще одна обязанность оператора - извещение Роскомнадзора о предстоящей обработке персональных данных. Эта норма присутствует в российском законодательстве с 2007 года. Форма уведомления, применяемая в настоящее время, утверждена в 2008 году.

Сразу отметим, что требование об извещении распространяется не на всех работодателей. Согласно ст.22 закона №152-ФЗ, не обязаны составлять уведомление для Роскомнадзора организации, которые:

• обрабатывают полученные сведения в соответствии с трудовым законодательством;
• получают информацию в связи с заключением договора и используют ее исключительно в рамках исполнения договоренностей;
• получают данные, признанные общедоступными или включающие только фамилии, имена и отчества субъектов;
• запрашивают информацию однократно в целях пропуска субъекта на территорию оператора;
• относятся к числу религиозных или общественных и обрабатывают информацию в условиях конфиденциальности для достижения законных целей.

Чтобы каждый раз не уведомлять Роскомнадзор об обработке данных, работодатель, использующий сведения о работниках исключительно в рамках трудового законодательства, может закрепить соответствующее условие внутренними документами. Пропишите в положениях и других локальных актах основные направления деятельности компании и цели, с которыми она ведет сбор и обработку личной информации о персонале.

Ответственность за нарушение правил обработки сведений личного характера

За нарушение законодательства о защите персональной информации виновное лицо можно привлечь не только к дисциплинарной, но и к административной ответственности , а в некоторых случаях - и уголовной ответственности. Мера ответственности выбирается с учетом вида, тяжести и обстоятельств совершения проступка.

Следует помнить, что серьезным нарушением считается и неправомерный доступ к электронной информации, охраняемой законом, и нарушение неприкосновенности частной жизни. Сюда же относится ненадлежащее хранение персональных данных, а также непреднамеренное, совершенное без злого умысла разглашение конфиденциальных сведений, доступ к которым был получен при выполнении трудовых обязанностей. Пострадавшая сторона может через суд потребовать возмещения материального и морального ущерба, нанесенного неправомерными действиями должностного лица.

Размеры штрафов, выплачиваемых работодателями за несоблюдение правил обработки личных данных персонала, постоянно увеличиваются и в настоящее время исчисляются десятками тысяч рублей. Поэтому если в организации не применяется или вовсе отсутствует положение о защите персональных данных работников, образец документа, составленного с учетом всех требований закона, явно не будет лишним.

Чтобы обрабатывать персональные данные сотрудников без штрафа от ГИТ, работодатель должен составить и утвердить Положение об обработке персональных данных сотрудника. Такое положение – обязательный документ, который должен быть в организации. Составьте Положение в произвольной форме и включите в него все особенности порядка обработки персональных данных в вашей компании. Готовый документ утвердите приказом работодателя.

С 1 июля 2017 года существенно ужесточена ответственность за нарушения при взаимодействии с персональными данными физических лиц. Это следует из положений Федерального закона от 07.02.2017 № 13-ФЗ). Изменения затронут всех без исключения работодателей, которые связаны с обработкой персональных данных сотрудников и подрядчиков-физических лиц. Более того, можно сказать, что поправки касаются практически всего бизнес-сообщества, взаимодействующего в персональными данными физических лиц (например, владельцев сайтов, которые собирают персональные данные посетителей). Как подготовится к изменениям? Увеличатся ли штрафы? Кто будет выявляться нарушения в обработке персональных данных? Давайте разбираться.

Персональные данные: особая информация

Персональные данные работников – это любая информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного сотрудника (п. 1 ст. 3 Федерального закона от 27 июля 2006 № 152-ФЗ «О персональных данных»).

У работодателя (организации или ИП) персональные данные работников, чаще всего, обобщаются в их личных карточках и личных делах. При этом почти каждый менеджер отела кадров или HR-специалист знает, что персональные данные допускается получать только лично от работников. Если персональные сведения возможно получить только от третьих лиц, то российское законодательство обязывает уведомить об этом работника и получить от него письменное согласие (пункт 3 части 1 статьи 86 Трудового кодекса РФ).

Работодатели не вправе получать и обрабатывать персональные данные, которые не относятся напрямую к трудовой деятельности человека. То есть, собирать сведения, допустим, о вероисповедании сотрудников – нельзя. Ведь такая информация представляет из себя личную или семейную тайну и никак не может быть связана с выполнением трудовых обязанностей (пункт 4 части 1 статьи 86 Трудового кодекса РФ).

Получив персональные данные, работодатель в силу требований законодательства обязан их не распространять и не раскрывать третьим лицам без согласия работника (ст. 7 Федерального закона от 27 июля 2006 № 152-ФЗ).

Под персональными данными можно понимать любую информацию, прямо или косвенно относящуюся к определенному физическому лицу (субъекту персональных данных) – пункт 1 статьи 3 Федерального закона от 27 июля 2006 № 152-ФЗ. Примерами такой информации может быть фамилия, имя, отчество, дата и место рождения, место проживания и т. д.

Как работодатель обязан защищать персональные данные

В целях защиты и ограничения доступа к персональным данным работодатель должен обеспечить качественную и современную систему их защиты. Как именно это сделать? Этот вопрос решает каждый работодатель самостоятельно. При этом порядок получения, обработки, передачи и хранения персональных данных должен быть закреплен в локальном акте организации, допустим в Положении об обработке персональных данных работников (ст. 8, 87 ТК РФ, п. 2 ч. 1 ст. 18.1 Федерального закона от 27 июля 2006 № 152-ФЗ).

Также у работодателя должен быть официально назначен работник, который отвечает за работу с персональными данными (ч. 5 ст. 88 ТК РФ). Им может быть, например, работник отдела кадров, которые взаимодействует с личными делами, получает согласия работников на обработку, ведет карточки сотрудников и т.д.

Проверки работодателя по вопросам обработки им персональных данных проводят подразделения Роскомнадзора. Приказом Минкомсвязи России от 14.11.2011 № 312 утвержден Административный регламент исполнения Роскомнадзором функций по осуществлению государственного контроля (надзора).

Какая ответственность применяется к работодателям

За нарушение порядка получения, обработки, хранения и защиты персональных данных сотрудников предусмотрена дисциплинарная, материальная, административная и уголовная ответственность (ст. 90 ТК РФ, ч. 1 ст. 24 Федерального закона от 27 июля 2006 № 152-ФЗ). Разберем каждую из этих видов ответственности.

Дисциплинарная ответственность

К дисциплинарной ответственности за нарушения при работе с персональными данными можно привлечь к ответственности работников, которые в силу трудовых отношений обязаны соблюдать правила работы с личными данными, но нарушили их (ст. 192 ТК РФ). То есть, привлечь к ответственности можно, к примеру, менеджера отдела кадров, которому поручена соответствующая работа. За дисциплинарный проступок сбора, обработки и хранения персональных данных работодатель может наказать своего работника, применив к нему одно из следующих взысканий (ч.1 ст. 192 ТК РФ):

• замечание;
• выговор;
• увольнение.

Материальная ответственность

Материальная ответственность работника может наступить, если в связи с нарушением правил работы с персональными данными организации причинен прямой действительный ущерб (ст. 238 ТК РФ). Предположим, что ответственный работник отдела кадров допустил грубое нарушение – распространил персональные данные сотрудников в сети Интернет. Работники, узнав об этом, подали на работодателя в суд, который постановил: «выплатить пострадавшим работникам денежную компенсацию – 50 000 рублей каждому». В такой ситуации работодатель имеет возможность возложить на виновного сотрудника отдела кадров ограниченную материальную ответственность в пределах его среднего месячного заработка (ст. 241 ТК РФ). Взыскание причиненного ущерба можно осуществить по распоряжению руководителя не позднее одного месяца со дня окончательного установления размера причиненного сотрудником ущерба. Если месячный срок истек, то взыскать ущерб придется через суд. Такой порядок предусмотрен в статье 248 Трудового кодекса РФ.

Нарушение 1: обработка персональных данных в «иных» целях

С 1 июля 2017 года обработка персональных данных в случаях, не предусмотренных законодательством, либо обработка персональных данных, несовместимая с целями сбора персональных данных – самостоятельные виды административного нарушения (ч. 1 ст. 13.11 КоАП РФ). Приведем пример: организация-работодатель собирает персональные данные работников и передает эти данные сторонним компаниям в рекламных целях (передаются ФИО, телефоны, регионы проживания, уровень дохода). Потом рекламные фирмы начинают рассылать работникам на телефон, e-mail и домашние адреса различный спам и рекламные предложения. Если в таких действиях работодателя не будет выявлено уголовного состава преступления, то можно будет применить административную ответственность. С 1 июля 2017 года административное наказание может быть следующим:

• или предупреждение;
• или штрафы.

Нарушение 2: обработка персональных данных без согласия

Обработка персональных данных работодателем, по общему правилу, возможна только с письменного согласия работников. Такое согласие должно включать в себя следующую информацию (части 4 статьи 9 Закона от 27 июля 2006 г. № 152-ФЗ):

• ФИО, адрес сотрудника, реквизиты паспорта (иного документа, удостоверяющего его личность), в том числе сведения о дате выдачи документа и выдавшем его органе;
• наименование или ФИО и адрес работодателя (оператора), получающего согласие сотрудника;
• цель обработки персональных данных;
• перечень персональных данных, на обработку которых дается согласие;
• наименование или ФИО и адрес лица, осуществляющего обработку персональных данных по поручению работодателя, если обработка будет поручена такому лицу;
• перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых работодателем способов обработки персональных данных;
• срок, в течение которого действует согласие сотрудника, а также способ его отзыва, если иное не установлено федеральным законом;
• подпись работника.

С 1 июля 2017 года обработка персональных данных без согласия работника в письменной форме, либо если письменное согласие не содержит обозначенных выше сведений – это самостоятельное административное нарушение, предусмотренное в части 2 статьи 13.11 КоАП РФ. За него возможны штрафные санкции:

Нарушение 3: доступ к политике по обработке персональных данных

Оператор персональных данных (например, работодатель или интернет-сайт) обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных. Оператор, осуществляющий сбор персональных данных в Интернете (например, через сайт), обязан опубликовать в Интернете документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу. Это предусмотрено пунктом 2 статьи 18.1 Закона от 27 июля 2006 г. № 152-ФЗ.

С выполнением этой обязанности на практике сталкиваются многие пользователи сети Интернет. Так, например, когда вы оставляете какую-либо заявку на сайтах и указываете свои ФИО и e-mail, то можете обратить внимание на ссылку на подобные документы: «Политика обработки персональных данных», «Положение об обработке персональных данных» и т.п. Однако стоит признать, что некоторые сайты этим пренебрегают и никакой ссылки не приводят. И получается, что человек оставляет заявку на сайте, не знает, в каких целях сайт собирает персональные данные.

Некоторые работодатели также на своих сайтах выставляют имеющиеся вакансии и предлагают кандидатам заполнить форму «О себе». В таких случаях интернет-сайт также должен обеспечить доступ к «Политике обработке персональных данных».

С 1 июля 2017 года в части 3 статьи 13.11 КоАП РФ выделен самостоятельный состав правонарушения – невыполнение оператором обязанности по публикации или предоставлению неограниченного доступа к документу с политикой по обработке персональных данных или сведениями по их защите. Ответственность по этой статье может выглядеть как предупреждение или административные штрафы:

Нарушение 4: сокрытие информации

Субъект персональных данных (то есть, физическое лицо, кому принадлежат эти данные) имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей (ч. 7 ст. 14 Закона от 27 июля 2006 г. № 152-ФЗ):

1. подтверждение факта обработки персональных данных оператором;
2. правовые основания и цели обработки персональных данных;
3. цели и применяемые оператором способы обработки персональных данных;
4. наименование и место нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или на основании федерального закона;
5. обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
6. сроки обработки персональных данных, в том числе сроки их хранения;
7. порядок осуществления субъектом персональных данных прав, предусмотренных настоящим Федеральным законом;
8. информацию об осуществленной или о предполагаемой трансграничной передаче данных;
9. наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка поручена или будет поручена такому лицу;
10. иные сведения, предусмотренные Федеральным законом или другими федеральными законами.

Персональные данные работников есть у всех компаний. С 1 июля 2017 года применяются новые штрафы. Они больше прежних. Подскажем, как работать без нарушений.

С 1 июля 2017 года повышается ответственность за нарушения в работе с персональными данными. Изменения затронут всех без исключения работодателей, у которых в распоряжении есть личные сведения сотрудников и других физлиц.

Что относится к персональным данным в 2017 году

Под персональными данными понимается любая информация о физлице (п. 1 ст. 3 Федерального закона от 27 июля 2006 г. № 152-ФЗ). К таким сведениям, относятся фамилия, имя, отчество, пол, возраст, образование, место жительства физического лица и т.д.

А значит, все документы с персональными данными физлиц работодатель должен обрабатывать, хранить и уничтожать в соответствии с требованиями законодательства.

К таким документам относятся:

• трудовая книжка;
• паспорт или иной документ, удостоверяющий личность;
• страховое свидетельство обязательного пенсионного страхования;
• документы воинского учета - для военнообязанных и лиц, подлежащих призыву на военную службу;
• документы об образовании и (или) о квалификации или наличии специальных знаний - при поступлении на работу, требующую специальных знаний или специальной подготовки;
• документы (справки) содержащие сведения о состоянии здоровья работника;
• документы (справки) содержащие сведения о возрасте или семейном положении работника.

июля

2017 года увеличатся штрафы за нарушения правил работы с персональными данными

Как обеспечить защиту персональных данных

Рассмотрим, что нужно предпринять в хозяйстве в связи с защитой персональных данных сотрудников и других физлиц. Всего пять шагов.

Шаг 1. Закрепите порядок получения, обработки, передачи и хранения персональных данных в локальном акте организации. Например в положении об обработке персональных данных работников (ст. 8, 87 ТК РФ, п. 2 ч. 1 ст. 18.1 Федерального закона от 27 июля 2006 № 152-ФЗ).

Шаг 2. Назначьте работника, ответственного за работу с персональными данными (ч. 5 ст. 88 ТК РФ). Это может быть сотрудник отдела кадров, который взаимодействует с личными делами сотрудников. Он будет получать согласие работников на обработку персональных данных, вести карточки сотрудников и т.д.

Шаг 3. Подготовьте шаблон согласия на обработку персональных данных. Без него запрашивать личные сведения физлиц нельзя. Такое согласие должно включать в себя следующую информацию (части 4 статьи 9 Закона от 27 июля 2006 г. № 152-ФЗ):

• ФИО, адрес сотрудника, реквизиты паспорта (иного документа, удостоверяющего его личность), в том числе сведения о дате и месте выдачи документа;
• наименование или ФИО и адрес работодателя, который получает согласие сотрудника;
• цель обработки персональных данных;
• перечень персональных данных, на обработку которых дается согласие;
• наименование или ФИО и адрес лица, осуществляющего обработку персональных данных по поручению работодателя, если обработка будет поручена такому лицу;
• перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых работодателем способов обработки персональных данных;
• срок, в течение которого действует согласие сотрудника, а также способ его отзыва, если иное не установлено федеральным законом;
• подпись работника.

Образец согласия на обработку персональных данных

Шаг 4. Предоставить по запросу физлица информацию, которая касается обработки его персональных данных (ч. 7 ст. 14 Закона от 27 июля 2006 г. № 152-ФЗ). Среди таких сведений, например:

• подтверждение факта обработки персональных данных;
• цели обработки персональных данных;
• способы обработки персональных данных;
• наименование и адрес работодателя, сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные по закону и т. д.

Как работать с персональными данными на сайте

Опубликуйте или иначе обеспечьте неограниченный доступ к документу, который определяет политику обработки персональных данных. Если хозяйство собирает персональные данные в интернете, этот шаг тоже нужно сделать (п. 2 ст. 18.1 Закона от 27 июля 2006 г. № 152-ФЗ).

Например, на некоторых сайтах пользователь указывает свои ФИО и e-mail при регистрации или отклике на вакансию. Тогда на сайте нужно разместить ссылки на документы:

• «Политика обработки персональных данных»;
• «Положение об обработке персональных данных» и т.п.

Сколько хранить персональные данные

Персональные данные нужно уничтожить через 30 дней с той даты получения согласия на обработку его персональных данных. Другой срок можно установить в договоре или соглашении с физлицом.

Если у хозяйства нет возможности уничтожить персональные данные в срок, сведения нужно заблокировать. После этого уничтожить личные сведения нужно не позднее, чем через шесть месяцев (ч. 6 ст. 21 Закона № 152-ФЗ).

Уничтожает персональные данные комиссия на основании приказа руководителя. Результат нужно оформить в виде акта о прекращении обработки персональных данных. Еще вариант - можно сделать запись об уничтожении в специальном журнале.

Кому грозят новые штрафы за нарушение работы с персональными данными

С 1 июля 2017 года расширится перечень оснований для привлечения работодателя к административной ответственности в области защиты персональных данных. Кроме того, увеличатся размеры штрафов (Федеральный закон от 7 февраля 2017 г. №13-ФЗ).

Раньше штраф был только один: от 500 руб. до 1000 руб. для директора и от 5000 руб. до 10 000 руб. для юрлица (ст. 13.11 КоАП РФ). Теперь будет шесть видов ответственности. За разные нарушения работодателей в сфере персональных данных проверяющие смогут применять несколько штрафов. Подробнее о видах нарушения и штрафах - в таблице.→00

Штрафы за нарушение правил работы с персональными данными

Положение о защите персональных данных работников — это базовый документ организации, который составляет правовую основу всей работы с данными такого рода. О содержании данного положения и работе с ним и расскажет предлагаемая нами статья.

Положение об обработке личных данных — требования законодательства

Часть 1 статьи 18.1 закона «О персональных…» от 27.07.2006 № 152-ФЗ указывает, что организации или иные субъекты (ИП, органы государственной или муниципальной власти), ведущие работу с личными данными граждан, обязаны принимать необходимые и достаточные меры, чтобы обеспечить выполнение требований как самого ФЗ № 152, так и принятых для его исполнения подзаконных актов. При этом перечень необходимых для выполнения подобных обязанностей мер организация вправе выбирать самостоятельно.

Та же часть 1 статьи 18.1 ФЗ № 152 содержит в себе приблизительный (но не исчерпывающий) перечень мероприятий, которые организация может использовать в ходе работы с личными данными. Пункт 2 части 1 статьи 18.1 ФЗ № 152 указывает, что одной из возможных мер является издание внутренних документов, которые будут определять политику организации в области работы с личными данными, а также иных нормативных актов, определяющих конкретный порядок работы сотрудников организации с таким сведениями.

Следует отметить, что политика организации — это преимущественно декларативный документ, который обозначает лишь общие черты мероприятий, которые будут приняты организацией для выполнения норм законодательства. Правовой основой для обработки личных данных в организации является положение о персональных данных работников.

Анализ статьи 18.1 ФЗ № 152 показывает, что принятие такого положения не является обязательным требованием. В то же время при проведении проверки соблюдения мер безопасности при работе с личными данными организация, согласно части 4 статьи 18.1 ФЗ № 152, должна предъявить такой документ проверяющим либо иным образом подтвердить факт соблюдения норм ФЗ № 152. Таким образом, наличие такого положения можно расценивать как бесспорное доказательство соблюдения требований, предъявляемых к работе с личными данными, поэтому организации все же желательно его разработать. При этом во исполнение требований части 2 статьи 18.1 ФЗ № 152 данное положение должно быть доступно для всеобщего ознакомления либо размещено на сайте организации.

Не знаете свои права?

Содержание положения, образец 2017 года

Перечень вопросов, которые должны быть урегулированы в положении, содержится в статье 18.1 ФЗ № 152. Как правило, они включаются в следующем порядке:

1. Общие положения. Здесь указываются:
   • цели и задачи действия положения;
   • ссылки на иные нормативные акты организации (приказы, инструкции, регламенты);
   • ситуации, когда данное положение подлежит применению;
   • ответственные за выполнение лица;
   • определения используемых в документе терминов и т. д.
2. Перечень и порядок применения технических, юридических и иных мер, направленных на защиту личных данных. В данном разделе отражаются:
   • вопросы допуска к носителям персональных данных,
   • порядок работы с ними,
   • требования к компьютерной технике, при помощи которой ведется работа с информацией, и т. д.
3. Порядок информирования (инструктажа) сотрудников организации, которые будут допущены к работе с личными данными.
4. Периодичность и перечень мероприятий, проводимых в рамках внутреннего или внешнего контроля за соблюдением положения.
5. Рамки ответственности сотрудников за нарушение требований положения.
6. Оценка возможного вреда и перечень мероприятий, которые могут минимизировать его или вовсе исключить вероятность его причинения.

При разработке положения организации следует учитывать также нормы:

• положения, введенного в действие постановлением Правительства РФ «Об утверждении…» от 15.09.2008 № 687 (если в организации данные обрабатываются вручную с использованием бумажных или электронных носителей информации);
• требований к работе со средствами автоматизации, установленными постановлением Правительства РФ «Об утверждении…» от 01.11.2012 № 1119 (при использовании компьютерной техники, передаче данных через интернет).

С образцом положения о защите персональных данных 2017 года вы можете ознакомиться на нашем сайте.

Особенности работы с положением

При непосредственной работе с положением о защите персональных данных работников следует помнить, что перечень ответственных за такую работу лиц (либо имеющих допуск к данным) утверждается отдельным приказом. Кроме того, если в организации используются унифицированные бумажные формы учета (книги, реестры, картотеки и т. д.), для их использования, согласно пункту 7 положения № 687, дополнительно требуется издание соответствующих инструкций по работе с ними. При этом стоит помнить, что в организации помимо обработки данных сотрудников часто требуется сбор и хранение данных клиентов и других граждан, поэтому действие положения может быть распространено и на работу с их личными данными.

Подводя итог, отметим, что разработка положения — это своеобразная страховка при проведении проверок организации со стороны Роскомнадзора и других контролирующих органов. Кроме того, положение позволяет упорядочить деятельность сотрудников при работе с личными сведениями, что повысит и степень защиты, и оперативность, и точность обработки.

Если просто, то персональные данные — это сведения о человеке. Закон № 152-ФЗ от 26.07.2006 дает более длинную формулировку, где человек именуется субъектом, который определяется по четким критериям правовых норм. Также вопрос регламентирован главой 14 Трудового кодекса Российской Федерации и Конституцией Российской Федерации.

В первую очередь тема важна для работодателей, так как трудовые правоотношения напрямую связаны с обработкой сведений о персонале. Именно поэтому на каждом предприятии утверждается Положение о работе с персональными данными работников. К этим данным относятся:

• место жительства (регистрации);
• номер телефона;
• данные о документе, удостоверяющем личность;
• доходы (зарплата, налоги);
• наличие детей;
• семейное положение;
• образование;
• состояние здоровья;
• количество проработанных лет (стаж).

Утверждая Положение об обработке и защите персональных данных, вы можете дополнить или детализировать перечень.

Положение о защите персональных данных — 2019

Если обратиться к ст. 87 Трудового кодекса Российской Федерации и к статье 81.1 ФЗ 152, то прямого указания на порядок оформления работы с данными сотрудников нет. Нормы просто указывают на необходимость регламентировать такие операции. Самый распространенный на практике способ — издание соответствующего внутреннего документа. Образец Положения о персональных данных — 2019 можно скачать после прочтения статьи.

Локальный акт утверждается приказом по предприятию и подлежит доведению до сведения работников. Кроме ознакомления с самим локальным актом, работники подписывают согласие на обработку. Обработка — это сбор, систематизация, накопление, хранение, передача, уничтожение информации. Большую часть операций осуществляет специалист отдела кадров.

Цель локального акта — защитить личную, семейную тайну, обеспечить неприкосновенность частной жизни. Исходя их этих принципов, необходимо отразить в локальном документе следующее:

• виды ПД;
• действия, которые осуществляются с этими данными;
• кто и каким образом имеет доступ к охраняемой информации;
• обязанности лиц, осуществляющих обработку;
• ответственность за разглашение.

Образец Положения о персональных данных работников — 2019

Доступ к информации

Безусловно, доступ к информации имеется у оператора (тот, кто осуществляет обработку). Сам субъект имеет право обратиться к оператору за информацией, в том числе с требованием уточнить, изменить или дополнить ее. Сведения предоставляются оператором в доступной форме, при этом в них не должно быть информации о других лицах.

Статья 14 ФЗ № 152 содержит исключение, когда доступ субъекта ПД к его данным может быть ограничен. Речь идет о случаях легализации преступно полученных денежных средств, когда данные были получены в ходе ОРМ, и другие случаи.

Ответственность

Если сведения, ограниченные в распространении, были сообщены другим лицам, то виновные граждане понесут ответственность в виде штрафа в сумме 500 или 1000 рублей. Должностные лица за утечку данных заплатят от 4000 до 5000 рублей, согласно ст. 13.14 КоАП РФ.

Чтобы сотрудники вашей компании не допускали подобных нарушений, издайте локальный акт и контролируйте его соблюдение. Если вам необходим образец Положения об обработке персональных данных работников, то можно его скачать в нашей статье.

Кроме того, за разглашение личных данных могут уволить, так как эти сведения относятся к категории охраняемых законом. Основание (статья) для расторжения трудовых отношений — подпункт «в», пункта 6, части 1, статьи 81 ТК РФ.