Здравствуйте, в этой статье мы постараемся ответить на вопрос: «Положение о порядке обработки персональных данных работников образец в 2022 году». Также Вы можете бесплатно проконсультироваться у юристов онлайн прямо на сайте.
Рассматриваемый документ содержит локальные нормы, определяющие:
- цели и задачи фирмы при работе с персональными данными;
- перечни фактических и потенциально задействуемых в бизнес-процессах компании персональных данных;
- описание операций с данными, практикуемых компанией;
- способы доступа к данным, используемые в фирме;
- обязанности сотрудников фирмы, задействующих при выполнении трудовой функции те или иные данные;
- права сотрудников фирмы на приобретение санкционированного доступа к данным;
- правовые механизмы ответственности работников фирмы за нарушения при операциях с данными.
Каждая фирма, имеющая статус оператора персональных данных (таковыми являются все работодатели), обязана утвердить локальный правовой акт, который регламентирует операции с подобными данными. Чаще всего таким локальным актом становится положение, утверждаемое генеральным директором фирмы.
Ознакомиться с прочими аспектами кадрового документооборота вы можете в статьях:
- «Воинский учет в организации — пошаговая инструкция»;
- «Какой срок хранения документов в архиве организации?».
- Федеральный закон от 27.07.2006 № 152-ФЗ
- Трудовой кодекс РФ
При работе с Положением о данных в отношении работников работодатели допускают некоторые ошибки:
- При разработке документа не составляется приказ о его утверждении. При этом работодатель заблуждается в том, что разработка Положения равнозначна введению его в действие или согласию работников на сбор личной информации. На работодателя, который осуществляет обработку таких сведений без письменного согласия субъекта, может быть наложена санкция в виде штрафа в размере:
- до 70 тысяч рублей (для юридического лица);
- до 5 тысяч рублей (для ИП).
- В документе установлена обязанность представления сотрудником информации о состоянии здоровья, о религиозных или политических предпочтениях, что является незаконным. Исключение составляют случаи, когда получение таких данных:
- обусловлено требованиями законодательных актов (например, при поступлении на службу в органы полиции, прокуратуры и т.д.);
- необходимо по запросу контролирующих органов (полиции, прокуратуры и т.д.);
- производится с добровольного согласия работника, предоставленного в письменном виде.
Если Положение о персональных данных не доведено до всеобщего сведения, на работодателя может быть возложена ответственность по КоАП РФ в размере до 30 тысяч рублей. При привлечении к ответственности работодатель может наказать сотрудника, отвечающего за сбор и хранение информации на рабочем месте (например, объявить выговор). При повторном нарушении соответствующий работник может быть уволен.
Приказ об утверждении положения о персональных данных
Положение о защите персональных данных работника утверждает руководитель фирмы или уполномоченное им лицо. А вводится в действие этот документ приказом руководителя.
Вот примерный образец приказа:
ЗАКРЫТОЕ АКЦИОНЕРНОЕ ОБЩЕСТВО «ПРОГРЕСС»
ПРИКАЗ
об утверждении Положения о защите
персональных данных работников
25 июля 2006 г. № 43
г. Москва
ПРИКАЗЫВАЮ:
1. Утвердить Положение о защите персональных данных работников Закрытого акционерного общества «Прогресс» и ввести его в действие со 2 августа 2006 года.
2. Контроль за исполнением настоящего приказа оставляю за собой.
Генеральный директор ЗАО «Прогресс» Кустов /Кустов В.Н./
Согласовано:
Начальник отдела кадров Воеводина /Воеводина Г.И./
25 июля 2006 г.
Юрисконсульт Николаев /Николаев С.П./
25 июля 2006 г.
Положение о защите персональных данных работников может выглядеть так:
ЗАКРЫТОЕ АКЦИОНЕРНОЕ ОБЩЕСТВО «ПРОГРЕСС»
УТВЕРЖДЕНО
приказ генерального директора
ЗАО «Прогресс»
от « 13 » апреля 20 07 г. № 43
ПОЛОЖЕНИЕ
о защите персональных данных работников
г. Москва
1. ОБЩИЕ ПОЛОЖЕНИЯ
1.1. Настоящее Положение разработано в целях защиты персональных данных работников Закрытого акционерного общества «Прогресс» (далее – Общество).
1.2. Настоящее Положение разработано в соответствии с требованиями Трудового кодекса РФ, Федерального закона от 27 июля 2006 г.№152BФЗ «О персональных данных» и определяет систему обработки и защиты персональных данных работника, полученных в процессе хозяйственной деятельности и необходимых в связи с трудовыми отношениями.
Персональные данные работника – информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного работника.
Обработка персональных данных работника – получение, хранение, комбинирование, передача или любое другое использование персональных данных работника.
2. ПЕРЕЧЕНЬ ДОКУМЕНТОВ И СВЕДЕНИЙ, СОДЕРЖАЩИХ ПЕРСОНАЛЬНЫЕ ДАННЫЕ РАБОТНИКА
2.1. В соответствии с Трудовым кодексом РФ лицо, поступающее на работу в Общество, предъявляет работодателю следующие документы, содержащие его персональные данные:
– паспорт или другой документ, удостоверяющий личность, который содержит сведения о его паспортных данных, месте регистрации (месте жительства), семейном положении;
– трудовую книжку, которая содержит сведения о трудовой деятельности работника;
– страховое свидетельство государственного пенсионного страхования, которое содержит сведения о номере и серии страхового свидетельства;
– свидетельство о постановке на учет в налоговом органе, которое содержит сведения об идентификационном номере налогоплательщика;
– документ об образовании, квалификации или наличии специальных знаний, содержащий сведения об образовании, профессии;
– документы воинского учета, которые содержат сведения о воинском учете военнообязанных и лиц, подлежащих призыву на военную службу.
2.2. В перечень документов и сведений, содержащих персональные данные, включаются:
– трудовой договор;
– сведения о состоянии здоровья;
– сведения о заработной плате.
3. ОБЩИЕ ТРЕБОВАНИЯ ПРИ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ И ГАРАНТИИ ИХ ЗАЩИТЫ
3.1. Обработка персональных данных работника осуществляется исключительно в целях обеспечения законов и иных нормативных правовых актов, содействия работнику в трудоустройстве, обучения и продвижения по службе, обеспечения личной безопасности работника, сохранности имущества, контроля количества и качества выполняемой работы.
3.2. Все персональные данные работника передаются им лично. Если персональные данные работника возможно получить только у третьей стороны, то работодатель обязан уведомить об этом работника заранее и от него должно быть получено письменное согласие. Работодатель обязан сообщить работнику о целях, источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных.
3.3. Работодатель не имеет права получать и обрабатывать персональные данные работника о его политических, религиозных и других убеждениях и частной жизни. В случаях, непосредственно связанных с вопросами трудовых отношений, в соответствии со статьей 24 Конституции РФ работодатель вправе получать и обрабатывать данные о частной жизни работника только с его письменного согласия.
3.4. Работодатель не имеет права получать и обрабатывать данные работника о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных федеральными законами.
3.5. При принятии решений, затрагивающих интересы работника, работодатель не имеет права основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного получения.
3.6. Защита от неправомерного использования персональных данных работника обеспечивается работодателем за счет собственных средств в порядке, установленном федеральным законом.
3.7. Работник должен быть ознакомлен с настоящим Положением под роспись.
4. ПОРЯДОК ХРАНЕНИЯ И ИСПОЛЬЗОВАНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ РАБОТНИКА
4.1. Персональные данные работника хранятся после автоматизированной обработки на электронном носителе и в бумажном варианте в личном деле сотрудника.
4.2. Персональные данные в бумажном варианте хранятся в сейфе. Ключ от сейфа хранится у генерального директора.
Работодатель обязан ознакомить работника с Положением о защите персональных данных, а работник – расписаться в этом.
Факт ознакомления обычно оформляют распиской, которая остается у работодателя. Вот ее образец:
РАСПИСКА
Я, Соколов Алексей Петрович, ознакомлен с Положением о персональных данных работника, права и обязанности в области защиты персональных данных мне разъяснены.
Соколов
8 августа 2006 г.
Работодатели массово стали получать письма из Роскомнадзора с предупреждением о том, что при проверке компании могут получить серьезные штрафы за нарушение норм закона ФЗ «О персональных данных» от 27.07.2006 № 152-ФЗ (далее — Закон). По нему работодатель обязан гарантировать защиту такой информации от противоправного доступа и использования третьими лицами. Положение о работе с персональными данными работников помогает решить эти задачи.
С 23 февраля 2020 года вступило в силу Постановление Правительства от 13.02.2019 № 146, которым утверждены Правила организации и осуществления государственного контроля и надзора за обработкой персональных данных. Согласно документу, плановые проверки будут проводиться раз в 2-3 года, а перечень компаний, подлежащих контролю можно будет заранее увидеть на сайте Роскомнадзора. Как и в случае с другими видами контроля, о запланированном визите инспекторы должны будут предупредить. Если плановая проверка, то известить о ней должны за 3 рабочих дня, а если внеплановая — за 24 часа.
За нарушение Закона предусмотрена дисциплинарная, материальная, административная и уголовная ответственность. Контролирующие органы могут привлечь к административной ответственности по ст. 13.11 и 13.14 КоАП, штрафы составляют:
- для должностных лиц: от 500 до 1000 рублей;
- для организации: от 5000 до 10 000 рублей;
- для должностных лиц, в связи с исполнением служебных или профессиональных обязанностей: от 4000 до 5000 рублей.
Наиболее распространенными нарушениями, по данным инспекторов, являются обработка персоданных без согласия их владельца либо с нарушениями, невыполнение требования об уничтожении личной информации, нарушение условий хранения таких сведений.
Это любая информация, необходимая работодателю при установлении трудовых отношений, которая касается сотрудника. Например, фамилия, имя, отчество, дата и место рождения, место проживания и т. д.
Примерами документов, включающих личные данные, могут служить:
- карточка сотрудника, содержащая Ф.И.О. лица, сведения о составе семьи, образовании;
- трудовая книжка со стажем с предшествующих мест работы;
- дипломы, сертификаты об образовании;
- трудовой договор.
Запрещено получать и обрабатывать данные, которые не относятся напрямую к трудовой деятельности. К примеру, сведения о вероисповедании, национальной, политической принадлежности. Данная информация получается исключительно от самих сотрудников. Эти условия должны быть включены в положение об обработке и защите персональных данных. Работодатели обязаны уведомить работника и получить от него письменное согласие на обработку, хранение, использование и распространение его данных.
Как оформить Положение о защите персональных данных сотрудников
Форма документа не регламентирована, а значит может составляться по шаблону, разработанному фирмой самостоятельно. Но следует помнить, что статья 9 ФЗ от 27.07.2006 № 152-ФЗ содержит перечень обязательных требований.
Новые правила с 2021 года
1 марта произошли изменения в ФЗ от 27.07.2006 № 152-ФЗ, которые внес ФЗ от 30.12.2020 № 519-ФЗ.
Рассмотрим основные нововведения.
1. Появился документ «Согласие на распространение ПДн сотрудника».
Теперь, получив от сотрудника согласие на обработку ПДн, компания не может их распространять. Для этих целей необходимо получить от физ. лица отдельный документ, который позволяет оператору распространять данные, например, размещать их на сайте компании, на доске почета, передавать банку и другое. В этом документе важно предоставить сотруднику возможность указать какую именно информацию он разрешает распространять работодателю.
2. Молчание субъекта ПДн не может быть расценено, как согласие на распространение ПДн. Это актуально и для бездействия сотрудника (п. 8 ст. 10.1 Закона № 152-ФЗ).
3. Любые ПДн о физ. лице можно публиковать только при наличии его письменного согласия, даже если лицо самостоятельно их разместило в общедоступном месте (интернет или социальные сети). Раньше такие личные данные можно было распространять без получения согласия от их владельца (п. 2 ст. 10.1 Закона № 152-ФЗ).
В случае, если сотрудник не дал согласия на распространение ПДн, но при этом дал согласие на обработку, то работодатель не в праве передавать информацию третьим лицам (п. 4 ст. 10.1 Закона № 152-ФЗ).
Правило не распространяется на передачу ПДн гос. органам (ИФНС, ФСС, ПФР, полиции и другим).
Стоит отметить, что сотрудник и вовсе может отказаться от дачи согласия на обработку ПДн. Но это не значит, что работодатель не вправе обрабатывать такие данные. Это возможно в случаях, указанных в ч. 2 ст. 9 Закона № 152-ФЗ. Одним из которых является выполнение возложенных законом обязанностей на компанию.
Получить согласие на распространение ПДн можно двумя способами:
1. Непосредственно у физ. лица, то есть с личной подписью на бумаге;
2. Через информационную систему Роскомнадзора. Любое физ. лицо может подключиться к системе для того, чтобы указать какие ПДн и кому он разрешает распространять.
Оператор, в свою очередь, также имеет возможность подключиться к данной системе и не получать от конкретного физического лица письменное согласие, а использовать информацию, содержащуюся в системе Роскомнадзора. Это возможность станет доступной с 1 июля 2021 года.
Компаниям и ИП однозначно стоит уделить внимание новшествам, описанным выше, так как штрафные санкции увеличились вдвое.
Начиная с 27 марта 2021 г. за работу с ПДн сотрудников без их письменного согласия ИП ждет штраф от 20 000 до 40 000 руб., организации, при аналогичном нарушении должны будут уплатить от 30 000 до 150 000 руб.
Если же ИП нарушит законодательство повторно, то штраф будет составлять от 100 000 до 300 000 руб., а для компаний — от 300 000 до 500 000 руб. (ч. 2 ст. 13.11 КоАП). Наказание за такое правонарушение может последовать в течение года (ст. 4.5 КоАП РФ).
Подведем итог: правила обработки личных данных касаются абсолютно всех физических и юридических лиц.
В этой связи, работодателям целесообразно брать с сотрудников:
1. согласия на обработку персональных данных;
2. согласия на распространение персональных данных.
Документы составляются в соответствии с требованиями действующего законодательства.
Игнорирование правил обработки и распространения данных может привести к серьезным финансовым потерям.
Разработка положения о персональных данных работников
Понятие персональных данных (далее — ПД) закреплено в ст. 3 закона «О персональных данных» от 27.07.2006 № 152-ФЗ (далее —
Нормативные документы по защите персональных данных
закон 152-ФЗ), который был принят в связи с ратификацией Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных (заключена в Страсбурге 28.01.1981 и ратифицирована РФ 07.11.2001).
Согласно данной норме, персональные данные — это любые сведения, которые прямо или косвенно относятся к физическому лицу. Физическое лицо, на которого распространяются требования закона 152-ФЗ, признается субъектом персональных данных.
В Трудовом кодексе персональным данным работника и их защите посвящена глава 14, регулирующая вопросы хранения, использования и передачи третьим лицам ПД работников организации, требования к этим действиям, а также ответственность работодателя за нарушение законодательства, регулирующего данную сферу.
Разъясняется терминология, используемая в тексте, цели обработки персданных, описывается общее значение корпоративного документа.
В локальном акте допустимо расписать права и обязанности:
- работодателя — оператора ПнД;
- работника — субъекта ПД.
По закону обработка ПД заканчивается выполнением целей. Они определяются заранее, регламентируются федеральными актами. В Положение об обработке ПД конкретной компании прописывают цели, характерные для ее деятельности.
|
Пример
|
Не указывайте цели, не характерные для вашей вашей компании. Чтобы правильно их определить:
- проанализируйте фактическую деятельность предприятия;
- изучите устав — там указаны основные направления работы;
- отследите бизнес-процессы в ИС подразделений и процедуры в отношении определенных категорий субъектов ПД.
Вы указали в локальном акте все используемые термины, определили цели. Теперь в Положении о защите персональных данных работников закрепите перечень должностей с допуском к ПнД. Это требует ст. 86 ТК РФ и 152-ФЗ.
Это допуск должностных лиц внутри компании-оператора. Доступ к конфиденциальным данным разделяется на полный и ограниченный. При описании полного допуска указывают список должностей, допущенных к ПД без ограничений.
При определении ограничений, кроме перечисления должностей, описывают свойства конфиденциальных данных, к которым допущены сотрудники, перечисляют операции, производимые с ними и указывают конечные цели.
Пример перечня должностей и перечня документов с персональными данными
Положение о персональных данных работников в 2021 году — образец
Ст. 5, п.5 No152-ФЗ посвящена:
- соразмерности объема и характера полученных данных объявленным целям;
- запрещению избыточности ПДн.
Об этом будет следующий раздел локального акта.
|
Пример Если объявленная цель обработки ПД — подписание договора с физлицом Ивановым И.И. на поставку товара, то персональные сведения, соответствующие этой цели — ФИО, банковские реквизиты паспорт, ИНН, телефоны, адрес. Избыточной будет информация о семье и имущественном положении. |
|
Важно! Именно цель определяет объем ПД. Если ваша организация предложит Иванову И.И. дополнительную социальную поддержку (полис ДМС) — это другая цель, она потребует иное количество ПД. |
В Положении о защите персональных данных работников перечисляются все категории лиц, чья личная информация необходима в деятельности предприятия. Это действующие и бывшие сотрудники, родственники, претенденты на вакансию, контрагенты оператора (физлица, юрлица) или их представители.
|
Совет Параллельно с перечислением целей рекомендуем дать перечень обрабатываемых перс данных применительно к указанным категориям субъектов. |
Отдельно разъясняется обработка спецсведений (раса, национальность, политические взгляды, религия, здоровье) и биометрии, если она производится.
Здесь описываются применяемые меры сохранности и конфиденциальности ПнД. Эти мероприятия описаны в ст. 18.1 No152-ФЗ. Из перечисленных оператор сам выбирает важные и достаточные для исполнения обязанностей. Ст. 19 ФЗ регламентирует конкретный перечень шагов, обеспечивающий безопасность ПД во время обработки. Среди прочих:
- моделирование угроз безопасности персональных данных в информационных системах;
- выявление самовольного доступа к конфиденциальным сведениям и оперативное реагирование на инциденты.
Установлены уровни защищенности перс данных — постановление No1119. Одна из мер по защите персональных данных в организации для сохранности личных данных при их обработке в ИСПДн, — организационные и технические процедуры. Их наличие поддерживает уровни в состоянии, обозначенном правительством — п.3/1 ст.19 ФЗ и п. 8 -16 Постановления No 1119. Основные меры защиты:
- установление аутентичности субъектов и объектов доступа;
- наблюдение за допусками;
- защита носителей, хранящих / обрабатывающих ПД;
- наблюдение за событиями;
- обследование защищенности ПД;
- обеспечение невредимости ИС и информации;
- доступность ПД;
- защита технических ресурсов и др.
Полностью состав этих мер приводит Приказ ФСТЭК No 21.
Если режим хранения ПнД позволяет раскрыть их субъекта, то хранение такой информации оканчивается:
- с достигнутой целью обработки;
- вместе с действием согласия на обработку ПД/его отзыва;
- согласно нормам об архивном деле.
|
Совет Рекомендуем продолжительность и порядок хранения ПД в ИСПДн или на бумаге указывать, учитывая установленный к ним доступ должностных лиц. Место хранения используемых баз конфиденциальных сведений также следует указать в Регламенте. |
|
Важно! Напоминаем — базы данных личных сведений работников локализуются в России |
Все действия с персональными данными относятся к их обработке: сбор, систематизация, накопление, хранение, уточнение, изменение, использование, передача, обезличивание, блокирование, уничтожение и т.д.
Любые действия, направленные на раскрытие персональных данных неопределенному кругу лиц, считаются распространением персональных данных и требуют наличия согласия.
Ответственность предусмотрена ст. 13.11 п. 2, 2.1 КоАП РФ. В случае если порядок получения согласия нарушен, его форма неверная или в ней отсутствуют частично обязательные условия, грозит увеличенный штраф:
- для должностных лиц — от 20 000 до 40 000 руб.
- для юридических лиц — от 30 000 до 150 000 руб.
За повторное нарушение ввели новые штрафы:
- для должностных лиц — от 40 000 до 100 000 руб.
- для индивидуальных предпринимателей — от 100 000 до 300 000 руб.
- для юридических лиц — от 300 000 до 500 000 руб.
Да, уведомлять органы Роскомназдора о начале обработки персональных данных обязательно в соответствии с требованиями ст. 22 Федерального закона № 152-ФЗ, за исключением случаев, предусмотренных вышеуказанной статьей. Если вы попадаете под исключения, то уведомлять Роскомнадзор не требуется:
- перечень случаев-исключений смотрите в шпаргалке (скачайте в конце статьи).
Любой аудит начинается с определения перечня документов, которые будут подлежать проверке.
- В обязательном порядке необходимо проверить не только правильность оформления документов, но и каким образом выстроены процессы и процедуры при осуществлении обработки персональных данных.
- При приеме на работу необходимо получить от работника согласие на обработку тех его персональных данных, которые работодатель собирается обрабатывать в деловых целях, а не для исполнения требований норм действующего законодательства.
Пример: для создания адреса электронной почты, оформления визиток, поздравления с днем рождения, указания в графике работ и т.д. (ст. 6 и 9 Федерального закона № 152-ФЗ).
- Если работодатель будет распространять персональные данные работника, то ему необходимо получить на это отдельное согласие от работника (ст. 10.1 Федерального закона № 152-ФЗ).
- Еще одно согласие в обязательном порядке работодатель как оператор персональных данных должен получить до начала трудовых отношений, когда работник имеет статус соискателя и его данные обрабатываются в других целях, нежели при трудоустройстве.
У согласий, которые предоставляет работник на обработку персональных данных, безусловно, есть срок действия. Его определяет сам работник — это является одним из обязательных условий в соответствии с требованиями п. 4 ст. 9 Федерального закона № 152-ФЗ.
Внимание: от корректности указанного работником срока действия согласия зависит возможность обработки оператором его персональных данных. Не рекомендуется устанавливать срок на период действия трудовых отношений, так как после увольнения работника вы обязаны будете прекратить обработку его данных, указанных в согласии, и уничтожить персональные данные в установленные законом сроки — в течение 30 дней.
На указание срока влияют цели обработки и перечень осуществляемых действий с персональными данными.
Рекомендация: при подписании согласия разъясните работнику, для чего указан срок обработки персональных данных и почему он такой. Как правило, на практике операторы сами указывают срок в форме согласия, а субъекты подписывают его и вопросов не возникает. Но следует помнить, что субъект может при подписании согласия изменить срок как на больший, так и на меньший, ведь это его законное право. Оптимально — договориться с работником и указать срок, удобный обеим сторонам. Плюс работодателю будет удобно учесть требования архивного законодательства. Например, прописать срок 75 лет.
Предоставлять персональные данные субъекта сторонним организациям без его согласия можно, если эти случаи предусмотрены законом. Например, идет судебный процесс и суд делает соответствующий запрос по работнику — работодатель может сообщить сведения, получать согласие у работника он не обязан.
Положение о работе с персональными данными
Персональными данными по Закону № 152-ФЗ считается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту ПД).
На передачу или распространение данных о ком-либо требуется согласие их субъекта, за исключением случаев, установленных законодательством (согласие не требуется при передаче ПД определенным органам и в определенных случаях).
К сведению: не требуется согласие работника на передачу персональных данных третьим лицам в целях предупреждения угрозы жизни и здоровью работника, в ФСС, ПФ РФ, налоговые органы, военные комиссариаты, прокуратуру, правоохранительные органы, ГИТ, суд (Разъяснения Роскомнадзора «Вопросы, касающиеся обработки персональных данных работников, соискателей на замещение вакантных должностей, а также лиц, находящихся в кадровом резерве»).
Ранее в Законе № 152-ФЗ было такое определение: общедоступные персональные данные – это ПД, доступ неограниченному кругу лиц к которым предоставлен с согласия субъекта ПД или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности. То есть эти данные размещались их субъектом или с его согласия в общедоступных источниках. Статья 8 Закона № 152-ФЗ относит к таким источникам справочники, адресные книги. Это также могут быть социальные сети и другие интернет-ресурсы.
К общедоступным сведениям относились фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии, фото и др. Общедоступные сведения в любое время могли быть исключены из общедоступного источника по требованию субъекта ПД либо по решению суда или иных уполномоченных государственных органов.
С 1 марта 2021 года вместо общедоступных данных появилось понятие «персональные данные, разрешенные субъектом персональных данных для распространения» – сведения о субъекте, доступ к которым субъект предоставил неограниченному кругу лиц путем дачи согласия на обработку этих ПД, разрешенных им для распространения в порядке, предусмотренном Законом № 152-ФЗ (ст. 3 Закона № 152-ФЗ).
При этом под распространением персональных данных в новой редакции понимаются действия, направленные на их раскрытие неопределенному кругу лиц.
К сведению: в прежней редакции закона распространением назывались действия, направленные на передачу ПД определенному кругу лиц или на ознакомление с ПД неограниченным кругом лиц, в том числе обнародование в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к ПД каким-либо иным способом.
Таким образом, прежде чем разместить для неограниченного круга лиц (на сайте организации, в печатных изданиях, в рекламе и т. д.) персональные данные работника, нужно получить его согласие.
В статье 9 Закона № 152-ФЗ уже установлена обязанность работодателей запрашивать у работника согласие на обработку персональных данных. Эта статья содержит и требования к оформлению такого согласия. В частности, оно должно быть конкретным, информированным и сознательным. Работник может дать его в любой позволяющей подтвердить факт получения такого согласия форме (письменно или в виде электронного документа, подписанного электронной подписью), если иное не предусмотрено федеральным законом.
Это согласие работодатели уже давно должны были запросить у работников.
К сведению: отдельное письменное согласие оформляется на обработку специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни (ст. 10 Закона № 152-ФЗ).
В новой ст. 10.1 Закона № 152-ФЗ прямо указано, что согласие на обработку персональных данных, разрешенных их субъектом для распространения, оформляется отдельно от иных согласий субъекта ПД на обработку его данных.
Таким образом, ранее составленные согласия на обработку персональных данных в соответствии со ст. 9 Закона № 152-ФЗ продолжают свое действие, в отношении них никаких изменений нет. А для размещения ПД работников в общем доступе работодатели должны запросить у работников отдельное согласие.
Обратите внимание: если работник сам раскроет свои личные данные, но не предоставит согласие, доказывать правомерность их распространения придется всем лицам, которые распространили эти сведения. Доказывать это понадобится и в случае, если ПД оказались раскрытыми неопределенному кругу лиц вследствие правонарушения, преступления или обстоятельств непреодолимой силы.
Основные требования к согласию установлены ст. 10.1 Закона № 152-ФЗ.
Составляя согласие, работодатель должен предоставить работнику возможность определить список тех персональных данных, которые он разрешает распространять, по каждой категории (общие, специальные, биометрические).
В согласии должно быть четко сформулировано, на что конкретно согласен работник. Если он не согласен с распространением или не указал специальные условия обработки для некоторых категорий персональных данных и их перечень – такие сведения можно только обрабатывать, без распространения (передачи, предоставления и иных действий) неограниченному кругу лиц.
Если из согласия не совсем понятно, что можно делать с ПД, а что нельзя, лучше ничего не публиковать.
Обратите внимание: молчание или бездействие работника ни при каких обстоятельствах не может считаться согласием на обработку персональных данных, разрешенных для распространения.
Получает согласие работодатель в первую очередь непосредственно от работника. А с 1 июля 2021 года его можно будет оформить с использованием инфосистемы Роскомнадзора.
Работодатель обязан опубликовать информацию об условиях обработки персональных данных и запретах, наложенных субъектом, в течение трех дней после получения согласия. Где ее публиковать – пока непонятно. Придется ждать разъяснений Роскомнадзора.
Нельзя запретить публиковать персональные данные, если они распространяются в государственных, общественных и иных публичных интересах, определенных законами РФ.
Работник может в любой момент потребовать запретить распространение своих ПД. Это требование должно включать в себя фамилию, имя, отчество (при наличии), контактную информацию (номер телефона, адрес электронной почты или почтовый адрес) субъекта ПД и перечень данных, обработка которых подлежит прекращению. Действие согласия прекращается с момента получения работодателем такого требования.
Обратиться с запретом на распространение своих ПД субъект может к любому лицу, обрабатывающему его данные, при несоблюдении этим лицом требований ст. 10.1 Закона № 152-ФЗ. Можно и обратиться в суд. Распространение данных должно прекратиться:
-
в течение трех рабочих дней с момента обращения;
-
или в срок, указанный в постановлении суда;
-
или в течение трех рабочих дней с момента вступления решения суда в законную силу.
Положения ст. 10.1 Закона № 152-ФЗ не распространяются на случаи обработки персональных данных органами власти.
К сведению: уведомлять Роскомнадзор о том, что сотрудники дали согласие распространять информацию о них, не нужно (п. 4 ч. 2 ст. 22 Закона № 152-ФЗ).
Данное предложение доступно только новым клиентам портала Praca.by, которые ранее не пользовались платными услугами портала.
Акция включает 4 бесплатных слота для размещения вакансий за пределами Минской области.
Для того чтобы воспользоваться предложением вам необходимо зарегистрироваться или авторизоваться на портале Praca.by в качестве работодателя.
Ищете работу? Регистрация соискателя
Политика обработки персональных данных в локальных актах организации
Важнейшее нововведение Федерального закона № 519-ФЗ от 30.12.2020 – это презумпция неправомерности распространения и обработки общедоступных личных сведений третьими лицами. Гражданам, желающим удалить свои персональные данные из общего доступа, больше не придется доказывать неправомерность их обработки третьими лицами.
Теперь обязанность предоставить доказательства законности распространения и обработки общедоступных персональных данных лежит на каждом лице, осуществившем их распространение (п. 2 ст. 10.1 Федерального закона от 27.07.2006 № 152-ФЗ).
По новым правилам физлица в любое время вправе обратиться к любому оператору персональных данных с требованием прекратить передачу (распространение, предоставление и доступ) своих общедоступных персональных данных. Обосновывать данное требование не нужно. Оператор персданных обязан удалить персональные данные физлица из общего доступа по факту получения соответствующего требования.
Неправомерная (без соответствующего согласия) обработка и распространение общедоступных персональных данных, равно как и отказ от их удаления из общего доступа по требованию граждан, влечет для организаций и ИП штрафы по ч. 1 ст. 13.11 КоАП РФ. Эта норма предусматривает для ИП и должностных лиц организаций в размере от 5 000 до 10 000 рублей, а для самих организаций – от 30 000 до 50 000 рублей.
Но уже с 27 марта 2021 года штрафы за совершение вышеуказанных нарушений будут в значительной степени увеличены (Федеральный закон от 24.02.2021 № 19-ФЗ). Так, штраф для ИП и должностных лиц организаций составит от 10 000 до 20 000 рублей, а для организаций – от 60 000 до 100 000 рублей.
Повторное нарушение повлечет взыскание штрафа с должностных лиц организаций в размере от 20 000 до 50 000 рублей, с ИП – в размере от 50 000 до 100 000 рублей, а с организаций – в размере от 100 000 до 300 000 рублей (новая ч. 1.1 ст. 13.11 КоАП РФ).
Одновременно будут увеличены штрафы и за саму обработку персональных данных без получения соответствующего согласия в письменной форме (ч. 2 ст. 13.11 КоАП РФ). Сейчас обработка персональных данных без согласия гражданина грозит физлицам штрафом в размере от 3 000 до 5 000 рублей, должностным лицам – от 10 000 до 20 000 рублей, а организациям – от 15 000 до 75 000 рублей. Такие же штрафы назначаются и за обработку персональных данных с нарушением требований к составу сведений, включаемых в согласие.
С 27 марта обработка персональных данных без разрешения повлечет наложение на физлиц штрафа в размере от 6 000 до 10 000 рублей. Должностным лицам организаций и ИП совершение этих нарушений обойдется штрафом в размере от 20 000 до 40 000 рублей, а организациям – от 30 000 до 150 000 рублей.
[15] Компания осуществляет обработку персональных данных с использованием средств автоматизации и без использования таких средств, а также смешанным образом в следующих целях:
– идентификации Пользователя, зарегистрированного на ресурсе;
– установления с Пользователем обратной связи;
– определения места нахождения Пользователя (в случае необходимости);
– подтверждения достоверности и полноты персональных данных, предоставленных Пользователем (в случае необходимости);
– осуществления информационной рассылки о продуктах и сервисах ресурса (Стороны подтверждают, что данная информация не является спамом, и на ее получение Пользователь дает свое согласие);
– предоставления доступа Пользователю к сервисам, информации и/или материалам, содержащимся на веб-сайте https://neg.by;
– продвижения услуг, оказываемых Компанией, и улучшения их качества.
[16] В случае если Компания поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несет Компания. Лицо, осуществляющее обработку персональных данных по поручению Компании, несет ответственность перед Компанией.
[17] Компания обязуется и обязывает иных лиц, получивших доступ к персональным данным, не раскрывать их третьим лицам и не распространять их без согласия субъекта персональных данных, если иное не предусмотрено законодательством Республики Беларусь.
[22] Оператор осуществляет обработку персональных данных в течение срока использования Пользователем функционала сайта.
[23] Обработка персональных данных прекращается при наступлении одного или нескольких из указанных событий:
- поступления от Пользователя отзыва согласия на обработку его персональных данных в порядке, установленном Политикой (за исключением случаев, предусмотренных действующим законодательством);
- достигнуты цели их обработки;
- истек срок действия согласия субъекта или он отозвал согласие на обработку персональных данных;
- обнаружена неправомерная обработка персональных данных;
- прекращена деятельность организации.
Новое согласие на обработку персональных данных — 2021
Роскомнадзор предоставил для использования специальный конструктор, с помощью которого можно сформировать шаблон согласия. Данный документ только рекомендован, однако он соответствует предъявляемым к нему требованиям и учитывает особенности конкретного оператора.
Для создания шаблона нужно заполнить необходимые графы, после чего он рассматривается экспертами Роскомнадзора. Если необходимо, оператору выдаются рекомендации, как доработать документ. Результаты проведенной проверки пересылаются на адрес электронной почты, который указывается в форме.
После этого оператор может применять проверенную форму документа.
В шаблоне учитываются все обязательные данные, которые нужно отражать в согласии на основании Приказа от 24.02.2021 г. № 18.
В ст. 87 Трудового кодекса и ст. 18.1 закона зафиксирована обязанность работодателя по формулировке и закреплению во внутренних актах порядка обработки, хранения личных данных персонала, перечня шагов по их защите. Указанным документом чаще всего является положение об обработке персональных данных работников.
Закон не предъявляет специфических требований к составлению локального акта. На практике в него включается следующая информация:
- общие нормы, содержащие предназначение акта, ссылки на нормативную основу его разработки;
- состав личных сведений, список их носителей;
- права работника по контролю за обращением с его личной информацией;
- меры, которые требуется предпринимать организации для защиты сведений, порядок обработки, использования;
- последовательность действий при передаче персональной информации;
- список сотрудников, обладающих доступом;
- санкции за неисполнение правил обращения с рассматриваемыми сведениями.
Положение о персональных данных работников подлежит утверждению приказом руководителя юрлица.
Всем работникам указанный акт предоставляется для ознакомления, для чего может быть заведен специальный журнал с перечнем работающих в компании субъектов, где каждый ставит подпись после прочтения правил.
Образец положения о работе с персональными данными можно скачать по ссылке: Положение о работе с персональными данными (образец-2020).
***
Работодатель, выступая субъектом, получающим и обрабатывающим личную информацию персонала, обязан принять необходимые меры для ее защиты при обработке, хранении, использовании. Соответствующие меры регламентируются положением о персональных данных, предоставляемым для ознакомления всем работникам.
В разработке документа должны принимать участие сотрудники кадровой и юридической служб, а также руководители отделов, деятельность которых подразумевает работу с персональными данными. Разработка приложения – отдельное направление работы над положением, которое стоит доверить юристам: они подготовят образцы документов, учитывая все особенности действующего законодательства.
Для утверждения готового документа издается приказ, который подписывается руководителем предприятия. Положение начинает действовать со дня подписания приказа, если последним не установлена другая дата вступления документа в силу.
Работа с персональными данными работников регулируется внутренним документом организации – соответствующим Положением. Обязательность его наличия обусловлено требованием ст. 87 ТК .
Все действия, связанные с получением, обработкой, изменением и т.д. данных индивидуального характера, подчиняются нормативам Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее Закон).
Пункт 2 часть 1 статья 18.1 Закона дает понятие персональным данным (далее ПД), к которым относят любую информацию, касающуюся субъекта прямо или косвенно, позволяющего идентифицировать его. Если говорит о работнике, как субъекте ПД, то работодатель использует следующие параметры:
- фамилия, имя и отчество;
- информация о рождении: место и дата;
- данные паспорта;
- ИНН;
- СНИЛС;
- адрес по прописке и фактического проживания;
- сведения об образовании;
- информация о стаже работы.
Все данные заносятся в личное дело сотрудника и пополняются в течение трудовой деятельности иной информацией персонального характера. Для организации работы, работодатель должен разработать Положение, в котором закрепить порядок и правила получения, хранения, использования полученных ПД работников.
Защита персональных данных: краткий обзор нововведений с 15 ноября 2021 года
Персональные данные относятся к конфиденциальной информации, поэтому работодатель обязан получать эти данные только у самого работника. Если это сделать невозможно, то работодатель имеет право запрашивать персональную информацию у третьих лиц только с письменного согласия работника. При этом ему нужно сообщить о целях, источниках, способах получения персональных данных, о том, какая именно информация интересует работодателя, а также о последствиях отказа работника дать письменное согласие на получение этих сведений. Исключением является информация, запрашиваемая из медицинских учреждений о противопоказаниях и ограничениях в трудовой деятельности своих работников.
Есть исключения:
|
Не нужно оформлять согласие работника на обработку персональных данных, если они получены |
Источник |
|---|---|
|
Из документов (сведений), предъявляемых при заключении трудового договора |
Статья 65, ч. 4 ст. 275 ТК РФ, п. 5 ч. 1 ст. 6 Закона № 152-ФЗ |
|
По результатам обязательного предварительного медицинского осмотра о состоянии здоровья |
Статья 69 ТК РФ, п. 3 Разъяснений Роскомнадзора |
|
Из личной карточки или в иных случаях, установленных законодательством РФ (например, при получении алиментов, оформлении допуска к государственной тайне, оформлении социальных выплат) |
Пункт 2 Разъяснений Роскомнадзора |
|
От кадрового агентства, действующего от имени соискателя на вакантную должность |
Пункт 5 Разъяснений Роскомнадзора |
|
Из резюме соискателя, размещенного в Интернете и доступного неограниченному кругу лиц |
Пункт 10 ч. 1 ст. 6 Закона № 152-ФЗ, п. 5 Разъяснений Роскомнадзора |
Образец заявления на обработку персональных данных. Файл *doc (Word), размер файла 55 КБ.
Оператор персональных данных – лицо, которое организует и осуществляет обработку персональных данных (ч. 2 ст. 3 Закона № 152-ФЗ). Под ним понимается любой работодатель ИП или организации который владеет персональными данными работников. Составление трудового договора или договора ГПХ — это уже персональные данные. Следовательно все работники являются субъектами персональных данных.
Федеральный закон от 27 июля 2006 г. N 152-ФЗ «О персональных данных» и 86, 87 ТК РФ устанавливают что необходимо согласие на обработку персональных данных и правильное хранение их. Также необходимо разработать положение о персональных данных.
Персональные данные нужно уничтожить через 30 дней с той даты получения согласия на обработку его персональных данных. Другой срок можно установить в договоре или соглашении с физлицом.
Если у хозяйства нет возможности уничтожить персональные данные в срок, сведения нужно заблокировать. После этого уничтожить личные сведения нужно не позднее, чем через шесть месяцев (ч. 6 ст. 21 Закона № 152-ФЗ).
Персональные данные работника — это любая информация, относящаяся к определённому или определяемому на основании такой информации физическому лицу.
К персональным данным относятся:
- Паспортные данные.
- Семейное положение.
- Сведения об образовании.
- Номер страхового свидетельства обязательного пенсионного страхования.
- Сведения о трудовой деятельности и др.
Эта информация необходима работодателю, чтобы заключить трудовой договор, помочь работнику в обучении, продвижении по службе, обеспечить его личную безопасность, контролировать количество и качество выполняемой им работы.
- Торговля в кредит
- Таможенное оформление
- Сертификация
- Внешняя торговля
- Комиссионная торговля