Защита персональных данных

Персональные данные: как составить локальные акты, чтобы у инспекторов не было вопросов

Роскомнадзор активно проверяет работодателей, применяя новые нормы ст. 13.11 КоАП РФ.
16,9 тыс. 3 тыс.
Персональные данные: как составить локальные акты, чтобы у инспекторов не было вопросов

Роскомнадзор активно проверяет работодателей, применяя новые нормы ст. 13.11 КоАП РФ.

Параллельно ведомство дает разъяснения.  В том числе, и о форме локального нормативного акта (далее ЛНА) в области обработки персональных данных. Разъяснения — не нормативный акт, но учитывать их стоит: в ходе проверок инспекторы обращают внимание на такие рекомендации. 

Какие условия должны быть указаны в ЛНА?

1. Локальный нормативный акт должен быть утвержден генеральным директором, директором, советом директоров или другими уполномоченными лицами, определенными уставом компании.

2. При утверждении ЛНА не обязательно учитывать мнение представительного органа работников.

3. Закон не устанавливает требований к количеству ЛНА по работе с персональными данными. Часто у работодателей целый свод таких положений. 

Например, ЛНА могут определять: 

  • общие принципы обработки данных,
  • порядок обработки данных на бумажных носителях,
  • порядок обработки данных в информационных системах,
  • порядок хранения персональных данных,
  • порядок передачи данных,
  • порядок обработки данных должностными лицами и проч.

4. В каждый ЛНА стоит включить раздел «Общие положения».  В нем указать значение ЛНА, основные термины и понятия:

  • «персональные данные»,
  • «оператор»,
  • «обработка персональных данных»,
  • «трансграничная передача персональных данных» и проч.

Также можно указать права и обязанности сторон: работодателя как оператора и сотрудников — субъектов персональных данных. 5. Сотрудников компании под роспись нужно ознакомить со всеми внутренними актами компании, которые устанавливают порядок обработки персональных данных (ст. 86 ТК РФ).

Что написать в ЛНА

Цели обработки персональных данных и содержание

Они должны быть конкретными и законными. Могут опираться на регламенты деятельности работодателя, бизнес-процессы и проч. 

Примеры целей: 

  • использование персональных данных в информационных системах, с которыми работает компания,
  • использование данных при составлении документов,
  • передача данных в государственные инстанции (ФСС, ПФР, ФНС и проч.) и другие организации (банки, страховые компании, гостиницы и проч.),
  • сбор данных для принятия решения о приеме кандидата на работу и проч.

В ЛНА нужно указать всех субъектов обработки персональных данных (бывшие и настоящие сотрудники и их родственники, соискатели, клиенты, контрагенты и их представители и проч.), цели обработки персональных данных и их перечень. 

Указанные в ЛНА персональные данные не должны быть избыточными по отношению к целям. 
Например, если речь об обработке персональных данных соискателя, цель — рассмотрение кандидатуры на конкретную должность. Для этой цели достаточно фамилии, имени, отчества, даты, месяца и года рождения, уровня образования, опыта работы, квалификации, знания иностранных языков, контактных телефонов, email. 

Если нужно, в ЛНА можно прописать обработку биометрических и специальных персональных данных субъектов (расовая и национальная принадлежность, политические взгляды, религиозные и философские убеждения, состояние здоровья).  Доступ к персональным данным

В ЛНА нужно указать перечень должностных лиц, у которых будет внутренний и внешний доступ к персональным данным. 

Внутренний доступ.

Может быть полным и ограниченным. 

При полном доступе достаточно указать перечень должностей, которым дан такой доступ к персональным данным сотрудников. 

При ограниченном — указать должности, перечень персональных данных и действий с ними (с указанием целей обработки). 

Также нужно назначить сотрудника, который будет отвечать за обработку персональных данных в компании (ч. 1 п. 1 ст. 18.1 Закона № 152-ФЗ «О персональных данных»).

Назначить можно прямым приказом работодателя или прописать должность в ЛНА.

Желательно, чтобы сотрудник имел отношение к работе с персональными данными: IT-специалист, HR, специалист по подбору и проч. Он будет получать указания от исполнительного органа компании (дирекция, правление, генеральный директор и проч.). 

Ответственный сотрудник будет: 

  • контролировать соблюдение законодательства РФ о персональных данных, в том числе требований к их защите;
  • информировать сотрудников о новых нормах, локальных актах о персональных данных;
  • принимать и обрабатывать обращения и запросы сотрудников и (или) их представителей по вопросам обработки персональных данных.

Внешний доступ. Нужно прописать в ЛНА условия передачи персональных данных третьим лицам, в том числе за пределы РФ (трансграничная передача): это можно делать на основании договора, поручения на обработку данных и проч. 

В ЛНА нужно указать: 

  • наименование и местонахождение третьих лиц,
  • цели передачи данных и объемы,
  • перечень действий по обработке,
  • способы обработки,
  • требования к защите данных.

Хранение персональных данных

Нужно прописать порядок хранения данных и документов, в которых они содержатся (копии паспортов сотрудников, СНИЛС, ИНН и проч.). 

Базы данных с персональными данными работников должны находиться на территории Российской Федерации. В ЛНА нужно указать место нахождения таких баз. 

Рекомендую отдельно указать сроки хранения данных (не дольше, чем этого требуют цели обработки) в информационных системах и на бумажных носителях. Исключение, когда сроки хранения данных установлены федеральным законом, договором с субъектом персональных данных (сотрудником, партнером и проч.). 

Уточните в локальном нормативном акте порядок действий при получении запросов (других обращений) на исправление, удаление, уничтожение персональных данных и прочих требований. Включите в ЛНА формы таких запросов (обращений).  Обеспечение конфиденциальности данных

В ЛНА стоит прописать меры, которые компания предпримет для сохранения конфиденциальности персональных данных. 

Основные требования к компании (ст. 18.1, 19 Закона № 152- ФЗ «О персональных данных», Приказ ФСТЭК России от 18.02.2013 № 21): 

  • определение угроз безопасности,
  • обнаружение фактов несанкционированного доступа,
  • применение мер по обеспечению безопасной обработки данных,
  • защита технических средств, на которых хранятся данные,
  • установка антивирусов и проч.

«Одноразовая» обработка персональных данных 

Речь об информации о лицах, которые один раз прошли на территорию предприятия. При этом у охраны есть распоряжение при пропуске гостей спрашивать у них ФИО, брать у них паспортные данные и проч. 

В таких ситуациях можно вести бумажный журнал однократного пропуска на территорию компании (Постановление Правительства РФ от 15.09.2008 № 687). Копировать информацию из журнала нельзя.

В ЛНА нужно закрепить:

  • порядок пропуска гостей на территорию предприятия (ведение журнала и проч.),
  • данные, которые охрана запрашивает у гостей и вносит в журнал,
  • цели сбора и обработки данных гостей,
  • сроки обработки данных,
  • перечень лиц (имена или должности), которые ведут журнал и отвечают за его сохранность и проч.

Наконец, компания должна обеспечить неограниченный доступ к документу, в котором определена политика работы с персональными данными (п. 2 ст. 18.1 Закона № 152-ФЗ «О персональных данных»). 

Локальный нормативный акт можно опубликовать на сайте компании, на внутреннем портале организации, наконец, на стендах в офисе. Главное — донести информацию до реальных и потенциальных субъектов персональных данных (сотрудников, партнеров и проч.).  

Комментарии

4
  • Анна Лядова

    Как громко сказано "б тать о Персональных данных- а всего лишь навсего еще одна лазейка для взимания непомерных штрафов. А у нас ведь еще выдумали закон о раскрытии информации.

    Да все, кому нужно знать о чьих-то данных - знают. Еще больше знают, чем человек может себе представить. А так это все бурная деятельность правительства.


  • Листопад5
    я вот тоже не понимаю, как эти бумажки защищают мои персональные данные. Возьмем вымышленную ситуацию. Сотрудник отдела кадров передала копии моих документов кому-то. В организации все документы о перс данных оформлены надлежащим образом. Но препятствий, что бы мои данные ушли на сторону нет.
  • natalisa51

    Листопад5, Вы писали:

    я вот тоже не понимаю, как эти бумажки защищают мои персональные данные. Возьмем вымышленную ситуацию. Сотрудник отдела кадров передала копии моих документов кому-то. В организации все документы о перс данных оформлены надлежащим образом. Но препятствий, что бы мои данные ушли на сторону нет.

    Вы, когда эти бумажки подписываете, читайте, что там пишут. Суть в том, что если вы подписали бумажку правильно составленную,то предприятие может ваши данные использовать,чтобы подать на вас в суд, если у предприятия будут к вам претензии. Эти бумажки не нас защищают, а работодателей и кредиторов,чтобы нас можно было разыскивать и подавать на нас в суд. Был очень интересный процесс на должника. банк подал в суд. Должник оказался грамотным и вовремя написал заявление в банк,что он не разрешает использовать мои персональные данные. И на предварительном заседании суду подал это заявление. суд иск заявление оставил без удовлетворения. Теперь банку надо через суд восстанавливать право использования персональных данных на должника,а потом подавать иск.

До 1 апреля надо сдать бухотчетность за 2023 год

Организации на всех режимах налогообложения должны сдавать бухгалтерскую отчетность не позднее 3-х месяцев после окончания отчетного года. Крайний срок сдачи за 2023 год – 01.04.2024 включительно.

Курсы повышения
квалификации

18
Официальное удостоверение с занесением в госреестр Рособрнадзора
ПСН

🔨 ИП на ПСН должен сам оказывать услуги, а не перезаказывать их у других ИП. Эксперт: достаточно спорная позиция Минфина

Заключение предпринимателем договоров субподряда с другими ИП не вписывается в рамки патента.

87

ТОП-15 курсов по 1С:Документоборот (делопроизводство) в 2024 году

В этой статье мы собрали платные и бесплатные курсы по 1С:Документообороту.

ТОП-15 курсов по 1С:Документоборот (делопроизводство) в 2024 году
Лучшие спикеры, новый каждый день
Банки

Клиенты ВТБ будут получать кешбэк в рублях

ВТБ по программе мультибонусов будет начислять кешбэк в реальных рублях. Клиенты могут установить избранные категории товаров для получения повышенных бонусов до 25% с покупок.

🏃 Какие выплаты положены работнику при увольнении переводом. Эксперт: допвыплаты на уровне закона были бы странными

Если сотрудник увольняется переводом к другому работодателю, то никаких выходных пособий и компенсаций в ТК за это не предусмотрено.

134

Руководители рассказали, почему готовы отказаться от должности. Исследование

Больше трети руководителей в России готовы отказаться от своей должности, чтобы начать строить карьеру в новой профессии.

Опытом делятся эксперты-практики, без воды

Инвесторы жалуются на «Лукойл» из-за сокрытия финансовой отчетности

Компания в отчетности по МСФО за 2023 год не сравнила результаты с прошлым годом, ссылаясь на постановление, которое перестало действовать.

Верховный Суд поддержал рекомендации Роспотребнадзора обеспечивать водой и спецодеждой работающих в жару

ВС РФ признал законными Рекомендации по работе в условиях сильной жары и повышенных температур, изданные Роспотребнадзором.

Бесплатно с Кадры

Кадровое законодательство 2024: изменения и дополнения. Мини-курс с видео, конспектом и тестами

Обо всех изменениях кадрового законодательства, нововведениях в ТК, нюансах заполнения ЕФС-1 и новых формах налоговой отчетности рассказываем в мини-курсе.

Кадровое законодательство 2024: изменения и дополнения. Мини-курс с видео, конспектом и тестами

Обновления на «Клерке». Все уже заметили?

Даже самый качественный сайт со временем устаревает. Нужны обновления и модернизация. Сегодня на «Клерке» все это произошло. Кто самый наблюдательный? Кто заметил? Что бы вы еще хотели поменять?

Обновления на «Клерке». Все уже заметили?

Прокуратора может изъять акции «Макфы» в пользу государства

Прокуроры доказывают в суде, что производство макаронных изделий под брендом «Макфа» имеет коррупционное происхождение. Их бенефициары вели бизнес, работая в органах госвласти.

96
ЭДО

Минтранс хочет провести эксперимент с переходом на ЭДО грузоперевозок на всех видах транспорта

Проведение эксперимента по переходу на электронный документооборот затронет грузоперевозки автомобильным, морским, речным, железнодорожным и воздушным видами транспорта.

Миникурсы, текстовые и видеоинструкции для бухгалтеров

Что ест бухгалтер. Давно не ели десертов

Лекарство от негатива. Тирамису — самый популярный в мире десерт.

Что ест бухгалтер. Давно не ели десертов
131
Банки

Приложение Райффайзенбанка снова работает

Специалисты устранили внутреннюю техническую ошибку, которая не позволяла клиентам отправить деньги.

Как нанять толкового бухгалтера в компанию: рекомендации экспертов

Ошибки бухгалтера приводят организацию к лишним затратам и огромным штрафам, а в особенно тяжелых случаях могут довести до ликвидации компании. Как же не допустить этого и нанять хорошего специалиста? Составили инструкцию для руководителей с комментариями наших экспертов.

Как нанять толкового бухгалтера в компанию: рекомендации экспертов
2
98

с 1 апреля 2024 года меняются правила работы с госзакупками: все переходят на цифровой контракт. Кто и в какой форме должен его составлять

С 1 апреля у заказчиков на госзакупках появляются новые обязательства. Теперь после проведения тендера они должны заключать цифровой контракт в единой информационной системе.

Иллюстрация: Вера Ревина, Клерк.ру

Верховный Суд защитил недвижимость предпринимателя от притязаний церкви

Коммерсант много лет добросовестного использовал для сельского хозяйства арендованный земельный участок, на который вдруг стала претендовать РПЦ.

3
116

ФРМР: обязательная регистрация (до 01.04.2024) медицинских и фармацевтических работников

Медицинские и фармацевтические работники, а также лица, которые обучаются медицинским и фармацевтическим специальностям, должны зарегистрироваться в ФРМР. Разбираемся в этой подсистеме ЕГИСЗ.

ФРМР: обязательная регистрация (до 01.04.2024) медицинских и фармацевтических работников

Управление персоналом. Принципы управления человеческим ресурсом

Даже при условии стремительного развития автоматизации в бизнесе еще невозможно отказаться от человека. От персонала требуется обслуживание оборудования, предоставление консультационных услуг, ведь машины пока не обладают теми способностями для разъяснения сложных вопросов, как это способен сделать человек.

Управление персоналом. Принципы управления человеческим ресурсом

Интересные материалы

🔥 Четыре новые онлайн-курса этой весны уже в подписке Клерк.Премиум!

Оформите годовую подписку Клерк.Премиум со скидкой 50% за 9900 рублей и получите доступ к самым свежим материалам и курсам!