Локальные акты защите персональных данных. Защита персональных данных работников: локальные нормативные акты

При составлении локальных нормативных актов работодателям нередко приходится учитывать требования не только трудового законодательства, но и иных федеральных законов и нормативных правовых актов ().

За последний год было принято несколько актов, в том числе и судебных, которые могут напрямую повлиять на позицию проверяющих органов. Разберемся, наличие каких положений следует проверить в локальных актах и включить их туда в случае их отсутствия, чтобы избежать административной ответственности.

Должностная инструкция

1 июля текущего года вступило в силу положение, согласно которому стали обязательны для применения работодателями, если это предусмотрено ТК РФ, законами и иными нормативными правовыми актами (). До этого они за некоторым исключением носили лишь рекомендательный характер – обязательными они были, например, для педагогических работников (ст. 46 Федерального закона от 29 декабря 2012 г. № 273-ФЗ " ").

Положения должностной инструкции, разработанной в соответствии с требованиями профстандарта, также можно использовать при подборе персонала. Обязанность непосредственного руководителя и/или отдела кадров указывать соответствующие требования к кандидатам при составлении бланка заявки может быть также прописана в Положении о найме, ротации и увольнении персонала.

ПОЛЕЗНЫЕ СЕРВИСЫ

Таким образом, при составлении отказа работодателю останется лишь сослаться на конкретную должностную инструкцию и указать те требования этого документа, которым соискатель не соответствует.

Однако стоит иметь в виду, что такое требование, как отсутствие у кандидата вредных привычек, считается дискриминационным, поскольку оно не относится к деловым качествам работника. К такому выводу в мае это года Тверской районный суд г. Москвы. Следовательно, наличие данного требования в должностной инструкции и/или Положении о найме, ротации и увольнении персонала также может быть признано дискриминацией.

Положение об аттестации

Нужно ли работодателю проверять квалификацию уже работающих в организации сотрудников на соответствие профстандарту, если для данной категории специалистов он стал обязателен?

Кроме того, работодатель вправе провести аттестацию работников. Так, уточняет ведомство, при применении квалификационных справочников и профессиональных стандартов лица, не имеющие специальной подготовки или стажа работы, установленных в разделе "Требования к квалификации", но обладающие достаточным практическим опытом и выполняющие качественно и в полном объеме возложенные на них должностные обязанности, по рекомендации аттестационной комиссии назначаются на должности так же, как и лица, имеющие специальную подготовку и стаж работы.

Однако если работодатель считает, что работник не справляется со своими обязанностями, он может признать его по результатам аттестации не соответствующим занимаемой должности (). По общему правилу Положение об аттестации обязательным локальным нормативным актом не является, а значит, его отсутствие не повлечет за собой административную ответственность. Но если работодатель хочет проверить квалификацию своих работников и привести ее в последующем в соответствие определенным требованиям либо уволить не отвечающих этим требованиям сотрудников по , без такого Положения не обойтись. Исключения составляют только случаи, когда обязательная аттестация регламентирована законом или подзаконным нормативным правовым актом (например, Приказ Министерства образования и науки РФ от 7 апреля 2014 г. № 276 " ").

В Положении об аттестации могут быть перечислены все основания и условия, при которых сотрудника, не прошедшего аттестацию, "условно" допускают к работе – например, при последующем обучении за счет работодателя, повышении его квалификации и повторной переаттестации. Однако лучше избегать таких положений – оставьте только два основных вывода аттестационной комиссии: соответствует занимаемой должности и не соответствует занимаемой должности.

Политика обработки персональных данных и Положение о защите, хранении, обработке и передаче персональных данных работников

С 1 сентября 2015 года при сборе персональных данных операторы обязаны обеспечивать локализацию персональных данных россиян на серверах, расположенных на территории России (ч. 5 ст. 18 Федерального закона от 27 июля 2006 г. № 152-ФЗ " "; далее – закон о персональных данных). И работодатель, поскольку он является оператором, также обязан соблюдать указанное требование. Принимать новые локальные акты закон не требует, а вот коррективы в уже существующие следовало внести еще до сентября прошлого года.

Деятельность компании в части защиты персональных данных, как правило, регламентируют два документа: Политика обработки персональных данных и Положение о защите, хранении, обработке и передаче персональных данных работников.

Собственно, локальным нормативным актом является только Положение, которое распространяется на сотрудников организации. Однако в поле зрения компании часто попадают и персональные данные, которые касаются третьих лиц (контрагентов, клиентов, родственников сотрудников и др.). Порядок работы с этими данными как раз и фиксируется в Политике. "Политику о порядке обработки персональных данных мы должны сделать публичной (). Проще всего разместить ее на своем сайте. Но есть организации, у которых нет сайта – в этом случае, как правило, рядом с тем местом, где посетителям оформляются пропуска, вешают кармашек, в который вкладывается Политика на бумажном носителе. Любой человек сможет ее вынуть и изучить", – уточнила 5 июля на конференции, организованной "АСЭРГРУПП", к.ю.н., доцент кафедры трудового права Национального исследовательского университета "Высшая школа экономики", ведущий научный сотрудник отдела законодательства о труде и социальном обеспечении Института законодательства и сравнительного правоведения при Правительстве РФ Татьяна Коршунова . Соблюдение указанных требований может не только ГИТ, но и сотрудники Роскомнадзора.

И в Политике, и в Положении должно быть условие о том, что при сборе персональных данных оператор обязуется обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных россиян с использованием баз данных, находящихся на территории России. Кроме того, нужно указать место нахождения такой базы данных.

"Иногда спрашивают, нельзя ли совместить два эти документа в одном. Конечно, можно, но только локальные акты не предусмотрены для того, чтобы ими руководствовались третьи лица. Например, зачем знакомить с ним человека, который по доверенности получает товар? Это будет нелогично", – заключает Татьяна Коршунова.

Правила внутреннего трудового распорядка

В начале года Европейский суд по правам человека (ЕСПЧ) право работодателя контролировать переписку сотрудников в рабочее время . Суть спора состояла в том, что сотрудник, уволенный из компании за использование служебного аккаунта для личного общения, счел действия работодателя по чтению находящихся в мессенджере сообщений нарушением его права на тайну переписки. ЕСПЧ, однако, встал на сторону работодателя, отметив, что тот вправе знать, чем занимается его сотрудник в рабочее время, и контролировать деятельность работников по использованию Интернета только для осуществления профессиональной деятельности. Тем более, что использование корпоративного аккаунта в личных целях было прямо запрещено корпоративными правилами, и работник был предупрежден о возможных проверках.

Таким образом, Суд признал право работодателя проверять переписку сотрудников.

"Отслеживать содержание корпоративной почты, интернет-траффик, использование компьютера – законное право работодателя. Что и подтвердил ЕСПЧ в указанном выше решении", – порталу ГАРАНТ.РУ эксперт центра правового содействия законотворчеству "Общественная Дума" Сергей Слесарев .

Аналогичные выводы есть и в решении российских судов (Апелляционное определение Верховного суда Республики Башкортостан от 1 декабря 2015 г. по делу № 33-17852/2015, ).

С тем, чтобы исключить уголовную ответственность за и обезопасить себя от претензий со стороны сотрудников, желательно включить условие о проверке корпоративной переписки в Правила внутреннего трудового распорядка или иной локальный акт.

МНЕНИЕ

Татьяна Коршунова, к.ю.н., доцент кафедры трудового права Национального исследовательского университета "Высшая школа экономики", ведущий научный сотрудник отдела законодательства о труде и социальном обеспечении Института законодательства и сравнительного правоведения при Правительстве РФ:

"В Правилах внутреннего трудового распорядка или в специальном документе о пользовании корпоративной почтой работодатель должен зафиксировать, что корпоративная почта может использоваться исключительно для деловой переписки. Использование корпоративного почтового ящика для личных целей не допускается. Также следует указать, что работодатель имеет право в любой момент проверить корпоративную почту сотрудника.

Когда работник заранее знакомиться с данным локальным актом и ставит свою подпись, он дает работодателю свое согласие на это. Если ему не хочется, чтобы кто-то проверял его корпоративную почту, значит он просто ищет другую работу".

Складывающаяся судебная практика подтверждает законность проверки работодателем не только корпоративной электронной почты сотрудников, но и их активности в социальных сетях. Частое посещение сайтов, не имеющих прямого отношения к выполняемой работе, может быть признано нарушением трудовой дисциплины и в разных случаях послужить основанием для сокращения должности работника на 0,5 ставки, объявления выговора и даже для увольнения (апелляционное определение Новгородского областного суда от 6 июня 2012 г. по делу № 2-1935/12-33-823, апелляционное определение Рязанского областного суда от 11 февраля 2015 г. № 33-335, апелляционное определение Омского областного суда от 12 февраля 2014 г. по делу № 33-649/2014).

Обязанность использовать корпоративный компьютер исключительно в рабочих целях, а также право работодателя проверять соблюдение сотрудниками этой обязанности, также стоит закрепить в Правилах внутреннего трудового распорядка.

***

Подводя итог, можно отметить, что сфера трудовых отношений чувствительна к изменениям даже в областях, далеких от трудового законодательства. Учитывать ли все нововведения в локальных нормативных актах, каждый работодатель решает самостоятельно. Однако своевременная корректировка основных документов компании способна обезопасить от претензий со стороны проверяющих органов и, как следствие, от административной ответственности.

Определяет как любую информацию, прямо или косвенно относящуюся к субъекту или позволяющую его идентифицировать (п.1 ст. 3). При этом законодательный акт не содержит разъяснения, какие именно сведения о физическом лице включает в себя данное понятие. В контексте трудовых отношений к ним, как правило, относятся:

• дата рождения;
• паспортные данные;
• адрес регистрации и проживания;
• номер СНИЛС;
• информация об образовании и трудовом стаже.

Это лишь минимальный перечень сведений о себе, которые человек предоставляет при приеме на работу. В процессе сотрудничества к нему добавляются: условия трудового договора и дополнительных соглашений, сведения о постановке на воинский учет, социальные льготы, данные о дисциплинарных взысканиях и поощрениях, отчеты для органов статистики и прочие. Массив полученной информации составляет личное дело работника.

Для чего нужно положение о работе с персональными данными

Принимая человека на работу, предприятие берет на себя функции оператора по обработке данных. Иными словами, работодатель осуществляет сбор, хранение, систематизацию, накопление и обновление информации, касающейся работников. Работа с личными данными ведется как с использованием средств автоматизации, так и без их применения. Обработка конфиденциальных сведений осуществляется не только в период сотрудничества, но и после его завершения, на стадии архивирования. Ст. 22.1 обязывает организации хранить личные дела работников в течение 75 лет. На всех этапах обработки личных сведений работодатель обязан предотвращать передачу их третьим лицам при отсутствии на то законных оснований. Комплекс соответствующих мер должен быть задокументирован как положение о работе с персональными данными работников.

Структура положения о персональных данных

Составляя положение о защите персональных данных 2019, рекомендуется придерживаться следующей структуры:

№	Раздел	Содержание
1	Основные положения	Цели документа, законы, порядок утверждения
2	Основные понятия	Определения понятий, упортребляемых в документе
3	Состав персональных данных работников	Перечень личных сведений
4	Обработка данных	Условия обработки информации
5	Комплекс документов	Перечень документов, содержащих личные сведения
6	Доступ к персональным данным	Порядок внешнего и внутреннего доступа к информации
7	Защита персональных данных	Комплекс мер для обеспечения безопасности конфиденциальных сведений
8	Права и обязанности работника	Права работника в отношении обработки данных, обязанность по своевременному уведомлению об их изменении
9	Ответственность за разглашение информации	Разъяснение ответственности за нарушение сохранности информации в соответствии с законодательством

Как ввести в действие положение об обработке и защите персональных данных 2019

На этапе разработки документа его содержание следует согласовать с руководителями отделов, задействованных в обработке данных, и юридической службой. Готовый локальный нормативный акт утверждается . Приказ также издается в случае внесения изменений в текст документа. Если по каким-либо причинам положение о защите личных данных отсутствует на предприятии, необходимо незамедлительно его оформить и довести его содержание до всех работников. Сотрудники, принимаемые на работу, должны прочесть положение до подписания трудового договора. Подтверждение ознакомления с текстом оформляется на усмотрение работодателя. Наиболее удобный способ - ведение журнала ознакомления с локальными нормативными актами. При необходимости работник может сколько угодно раз обращаться за текстом документа. Чтобы упростить данную процедуру, рекомендуется выложить образец положения об обработке персональных данных работника в ресурсы корпоративного электронного доступа.

Инструкция о защите ПДн при использовании бумажных и любых других носителей информации, вычислительной техники и автоматизированных систем обработки и (или) передачи данных. 4. Приказ о назначении лица или подразделения, ответственных за работу и обеспечение защиты ПДн, и наделении их соответствующими полномочиями. 5. Должностные инструкции лиц, ответственных за защиту информации. 6. План мероприятий по защите информации. 7. Перечень защищаемых объектов информатизации. 8. Приказ о вводе в эксплуатацию средств вычислительной техники, обрабатывающих информацию ограниченного доступа. 9. Приказ (распоряжение) о закреплении ПЭВМ за ответственными лицами. 10. Приказ (распоряжение) о хранении информации ограниченного доступа на машинных носителях информации. 11. Инструкция по защите речевой информации при проведении конфиденциальных совещаний. 12.

Какие локальные нормативные документы регулируют работу с персональными данными

• наименование или фамилию, имя, отчество и адрес работодателя (оператора), получающего согласие сотрудника;
• цель обработки персональных данных;
• перечень персональных данных, на обработку которых дается согласие;
• наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению работодателя, если обработка будет поручена такому лицу;
• перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых работодателем способов обработки персональных данных;
• срок, в течение которого действует согласие сотрудника, а также способ его отзыва, если иное не установлено федеральным законом;
• подпись сотрудника.

• Пенсионный фонд РФ (ст. 9 Закона от 1 апреля 1996 г. № 27-ФЗ);
• налоговые органы (ст.

Какие локальные акты регламентируют работу с персональными данными?

Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами». По сути, перечисленные сведения в том или ином виде находят отражение в положениях о персональных данных, разработанных в организациях. Следующий аргумент в пользу принятия рассматриваемого локального акта — его в числе прочих внутренних документов учреждения запрашивает при проверке государственный инспектор труда.

Отсутствие же положения о персональных данных квалифицируется контролирующим органом как нарушение трудового законодательства. За это организация может быть привлечена к административной ответственности по ст.

Защита персональных данных работников: локальные нормативные акты

С конца лета Закон о персональных данных действует в новой редакции. Изменились правила получения и защиты информации. Для работодателя это означает лишь одно — дополнительный документооборот. В статье расскажем о том, как составить положение о работе с персональными данными сотрудников и назначить ответственного за организацию работы с персональными данными.
Что такое персональные данные Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных» (далее — Закон N 152-ФЗ) определяет персональные данные как любую информацию, прямо или косвенно относящуюся к физическому лицу (субъекту персональных данных). Об этом сказано в п. 1 ст. 3 Закона N 152-ФЗ. Согласно ч. 1 ст. 85 Трудового кодекса под персональными данными сотрудника понимают информацию, касающуюся конкретного работника, которая необходима работодателю в связи с трудовыми отношениями.

Защита персональных данных: разрабатываем локальные акты учреждения (зайцева г.)

Отдельно могут быть даны определения персональным данным работника (информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного работника) и обучающегося (информация, необходимая образовательному учреждению в связи с отношениями, возникающими между обучающимся, его родителями (законными представителями) и учреждением). Что касается состава личных данных, перечень таких сведений законодательно не установлен. Так, в п. 2 ст. 86 ТК РФ сказано, что при определении объема и содержания обрабатываемых персональных данных работника работодатель должен руководствоваться Конституцией РФ, ТК РФ и иными федеральными законами.
То есть круг сведений устанавливается в локальном нормативном акте организации — положении о персональных данных. Здесь важно разграничить персональные данные работника и обучающегося, а также документы, содержащие эту информацию.

Локальные нормативные акты работодателя - разберемся в нюансах

Приказ о назначении лица, ответственного за организацию работы с персональными данными (им, как правило, становится либо менеджер по кадрам, либо бухгалтер). Основанием для такого назначения является п. 1 ч. 1 ст. 18.1 Федерального закона N 152-ФЗ. Обязанности ответственного сотрудника (согласно ст. 22.1 Федерального закона N 152-ФЗ) могут быть определены отдельным документом.
2. Приказ об установлении списка лиц, имеющих право доступа к персональным данным (основание — п. 13 Положения, утвержденного Постановлением Правительства РФ N 687). Здесь целесообразно указать не только фамилии и должности уполномоченных работников, но и виды информации, доступ к которой они получают, а также ссылку на то, что полученные сведения могут быть использованы лишь для тех целей, для которых они сообщались (абз. 4 ст. 88 ТК РФ). 3.

Осуществляя деятельность, предприятию или ИП, выступающими работодателями, или работающими с контрагентами - физлицами, приходится иметь дело с их личными данными, которые в соответствии с законодательством подлежат защите. Вся работа с этими сведениями должна регламентироваться, для этого на предприятии создается положение о персональных данных работников.

Персональные данные - это сведения работника, с которыми предприятию приходится иметь дело каждый день с момента заключения с ними и до увольнения.

Ответственные лица на предприятии не только их собирают и хранят, но также периодически обрабатываю и разглашают третьим лицам. Часто это требует осуществляемая деятельность, например, выплата зарплаты на картсчета в банке.

С другой стороны, существующие положения законодательных актов обязывают предприятие, хранить и не допускать разглашения подобной информации.

Чтобы полностью соблюсти положения законодательства, но и в дальнейшем осуществлять свою деятельность предприятие должно разработать Положение о персональных данных, в котором действующие нормы реализуются с учетом работы организации.

Разработать данное Положение необходимо любому хозяйствующему субъекту, который нанимает работников, а вследствие этого имеет дело с их личными данными.

Этот локальный нормативный акт разрабатывается и утверждается точно так же как и все другие внутренние нормативы предприятия. Ответственным за его разработку может выступать руководитель кадрового отдела или же иное должностное лицо, в обязанности с которыми включается работа с этими сведениями.

Проект документа согласуется с различными специалистами организации, профсоюзом, а после этого вводится в действие распоряжением директора. После того как Положение о персональных данных введено в действие, с ним необходимо под роспись ознакомить всех сотрудников.

Фиксировать ознакомление сотрудников с данным локальным документом можно в специальном журнале регистрации или с помощью заполнения отдельных .

Внимание! Законодательство устанавливает, что в состав Положения должно входить . Его необходимо запрашивать у работающего на предприятии человека каждый раз, когда происходит разглашение сведений третьим лицам, например, при составлении доверенности, справок и т. д.

При этом данное согласие сотрудник может отозвать в любой момент, подав на имя своего работодателя соответствующие заявление.

Какие данные сотрудников являются персональными

Нормы законодательства определяют, что включается в состав личных данных человека. Это может быть как информация, напрямую связанная с сотрудником, так и косвенно его затрагивающая.

Сюда включаются:

• Полные личные данные работника (Ф.И.О.).
• Сведения о месте и дате появления его на свет.
• Адрес фактический и по регистрации.
• Социальное, семейное, имущественное положение.
• Имеющиеся у работника образование, профессия.
• Сведения о получаемых сотрудником доходах и т. д.

Кроме закона о ПД, состав персональной информации определяет и ТК РФ. Он включает в состав защищаемой информации сведения, которые позволяют определить человека как работника. Это квалификация, специализация, образование, состояние здоровья человека (в некоторых ситуациях, например, при работе его во вредных условиях), наличии детей.

Образовательная организация должна обеспечивать защиту сведений, составляющих государственную или иную охраняемую законом тайну при реализации образовательных программ с применением электронного обучения либо (ст. 16 № 273-ФЗ). Здесь возникает вопрос использования таких сведений, как персональные данные в образовательном учреждении.

В статье 28 закона «Об образовании» не указана обязанность образовательной организации по обеспечению . Однако хотелось бы подчеркнуть, что существует отдельный отраслевой закон «О персональных данных» № 152-ФЗ, который определяет в качестве оператора любое юридическое лицо, которое осуществляет обработку персональных данных. Данное определение настолько широкое, что под него подпадает и деятельность образовательной организации.

Особенностью закона № 152-ФЗ является то, что он, возлагая ответственность по надлежащей обработке, при этом оставляет полную свободу при разработке локальной нормативной базы. Таким образом, образовательная организация свободна в перечне данных. Рассмотрим их примерный список.

Локальный акт образовательной организации «Положение об обработке персональных данных»

Основной локальный акт по защите персональных данных в образовательной организации называется «Положение об обработке персональных данных». Необходимо учитывать основную ошибку, которую часто допускают при разработке такого важного документа - не учитываются все субъекты, данные которых обрабатываются.

Согласно федеральному закону № 152, обрабатывается информация разных субъектов (работников, обучающихся, родителей). Можно издать целых два таких положения: в отношении работников и в отношении обучающихся/воспитанников. Но возможно обойтись одним документом, это решение сугубо индивидуальное.

При разработке этого локального акта в образовательной организации необходимо учитывать следующие основные вопросы:

Какие документы регламентируют работу с персональными данными? Необходимо перечислить все документы.

Какие персональные данные обрабатываются и в каких документах содержатся?

Каковы условия получения и (что немаловажно) хранения персональных данных? Существуют требования законодательства к условиям их хранения.

Какая ответственность установлена за нарушение законодательства? Укажите ответственность по защите персональных данных именно в вашей образовательной организации.

Как осуществляется доступ работников к персональным данным?

Как осуществляется доступ лиц, не являющихся работниками (это родители, медицинские работники, представители государственных и муниципальных органов, учредители)?

Как выше уже было сказано, локальный акт образовательной организации может быть единым, в котором урегулированы все вопросы. В развитие его могут быть приняты типовые формы обработка персональных данных в школе, такие как «Форма согласия», например.

Какие еще могут быть локальные акты образовательной организации по защите персональных данных?

• Отдельным локальным актом можно регламентировать порядок хранения персональных данных. «Инструкция по обеспечению безопасности (»это достаточно сложный с технической точки зрения документ, в разработке которого необходима помощь технических сотрудников.
• «Требования к педагогическим работникам, выполняющим функции классного руководителя».
• Если классный руководитель работает с электронными журналами, это должно обязательно находить отражение в его должностной инструкции, так как именно он является ответственным за внесение данных в электронный журнал и учащихся.
• «Инструкция по работе с персональными данными в автоматизированной информационной системе ”Электронный дневник”» может быть отдельной, если нужно подробно прописать вопросы, которые регулируют использование этих данных именно в системе электронного дневника: перечень действий, ответственность и пр.
• «Требования к помещениям по работе с персональными данными» и т.д.

Помимо локальных актов в образовательной организации могут существовать другие подписанные работниками документы по защите:

• утвержденные перечни лиц, имеющие доступ к тем или иным;
• обязательства о неразглашении;
• согласие на обработку данных.

Если говорить о документе «Согласие на обработку персональных данных», то оно может даваться по разным поводам, в зависимости от целей обработки таких сведений. Главное - это соблюсти определенную форму, обусловленную законодательством.

Также к документам, касающихся защиты персональных данных в образовательной организации, могут быть отнесены уведомления, например, о получении персональных данных от третьих лиц, запросы и заявления.

Необходимо учитывать, что каждая образовательная организация является уникальной, в том числе в части использования, обработки и защиты персональных данных в школе. Возможно, образовательная организация вообще не обрабатывает персональные данные автоматизированным способом, а только осуществляет обработку без использования средств автоматизации. Соответственно, перечень локальных актов будет совершенно другим.