Составляем приказ о персональных данных работников
Здравствуйте, в этой статье мы постараемся ответить на вопрос: «Составляем приказ о персональных данных работников». Если у Вас нет времени на чтение или статья не полностью решает Вашу проблему, можете получить онлайн консультацию квалифицированного юриста в форме ниже.
Закон не выдвигает особых требований к должности лица, назначенного ответственным за организацию обработки персональных данных. Напомним, что под «обработкой персональных данных» понимается любое действие или операция с персональными данными, включая их сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение (п. 3 ст. 3 Федерального закона от 27.07.2006 № 152 ФЗ «О персональных данных», далее – Закон о персональных данных).
Обработка персональных данных
В соответствии с п. 3 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных» обработка персональных данных — это любое действие (операция) или совокупность действий (операций), совершаемых с использованием или без использования средств автоматизации, с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
До начала обработки персональных данных вы обязаны уведомить Роскомнадзор о намерении их обрабатывать (ч. 1 ст. 22 Закона о персональных данных)
Риски при нарушении требований к обработке персональных данных работников организации
В соответствии со ст. 13.14 КоАП РФ разглашение подобной информации (за исключением случаев, если такое разглашение влечет уголовную ответственность) лицом, получившим доступ к ней в связи с исполнением служебных или профессиональных обязанностей, влечет наложение административного штрафа:
- — на граждан — от 500 до 1 000 руб.;
- — на должностных лиц — от 4 000 до 5 000 руб.
Следовательно, если будет установлено, что разглашение персональных данных произошло по вине работника, ответственного за хранение, обработку и использование персональных данных
За нарушение законодательства в области персональных данных работодатель может быть привлечен к административной ответственности по ст. 13.11 КоАП РФ.
В частности, обработка персональных данных без письменного согласия работника (когда оно необходимо), если эти действия не содержат уголовно наказуемых деяний, влечет наложение штрафа (ч. 2 ст. 13.11 КоАП РФ):
- — на граждан — от 6 до 10 тыс. руб., повторное нарушение — от 10 до 20 тыс. руб.;
- — должностных лиц — от 20 до 40 тыс. руб., повторное нарушение — от 40 до 100 тыс. руб.;
- — юридических лиц — от 30 до 150 тыс. руб., повторное нарушение — от 300 до 500 тыс. руб.
Приказ о защите персональных данных
Персональные данные (далее по тексту — ПД) работника — это любая информация, которая позволяет третьим лицам идентифицировать его личность. ПД должны быть надежно защищены от несанкционированного доступа — нарушение этого правила влечет за собой наложение на физическое или юридическое лицо, работающее с ними, административного взыскания.
Для обеспечения конфиденциальности данных необходимо разработать и внедрить на предприятии многоуровневую систему защиты информации, неотъемлемой частью которой является создание организационной документации, определяющей порядок работы с такими сведениями о работниках. Приказ о защите ПД определяет ключевые моменты политики руководства предприятия в области использования конфиденциальных сведений о личности работников, а также устанавливает перечень должностей и занимающих их лиц, в полномочия которых входит сбор, хранение и обработка данных.
Приказ о введении локально-нормативных актов
Очень важный приказ о введении локально-нормативных актов издается в первый день создания компании. Но до сих пор встречаются фирмы, в которых локально-нормативные акты не разработаны.
Тогда алгоритм действий будет таким:
Шаг 1. Приказ о том, что через 2 месяца (а если есть профсоюзная компания, то через 3 месяца) вступят в действие следующие локально-нормативные акты:
- Правила внутреннего трудового распорядка
- Положение о защите персональных данных
- Положение о заработной плате и премировании.
Материалы и документы о защите персональных данных
Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). Защита персональных данных — комплекс мероприятий технического, организационного и организационно-технического характера, направленных на защиту сведений, относящихся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных). Нормативной основой защиты персональных данных являются нормы Конституции РФ, Федерального закона «О персональных данных», Указ Президента РФ «О перечне сведений конфиденциального характера» и другие акты. Правовой основой для него послужила Всеобщая декларация прав человека, провозглашенная Генеральной Ассамблеей Организации Объединенных Наций.
27 июля 2006 года был принят Федеральный закон № 152-ФЗ «О персональных данных» для обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну. Закон вступил в силу 1 июля 2011 года. Действие закона распространяется не только на бумажные носители, но и на электронные средства (такие как автоматизированные информационные системы и электронные базы данных).
Наше учреждение является оператором, осуществляющим обработку персональных данных сотрудников, воспитанников и их родителей (законных представителей), а также физических лиц, состоящих в иных договорных отношениях с учреждением. Для соблюдения требований закона «О персональных данных» (далее — ПДн) детский сад должен получить от сотрудников и родителей (законных представителей) каждого воспитанника СОГЛАСИЕ НА ОБРАБОТКУ ПДн (на основании статьи 6, п. 1 № 152-ФЗ «О персональных данных).
Учреждение обрабатывает и защищает сведения о сотрудниках, детях и их родителях (законных представителях) на правовом основании.
- Правовое основание защиты персональных данных:
- Конституция РФ;
- Федеральный закон от 27.07.2006 г. № 152-ФЗ «О персональных данных»;
- Федеральный закон от 29.12.2012 г. № 273-ФЗ «Об образовании в Российской Федерации»;
- Федеральный закон от 30.12.2001 г. № 195-ФЗ «Кодекс Российской Федерации об административных правонарушениях» (ст. 13.11 «Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных)»);
- Федеральный закон от 13.06.1996 г. № 63-ФЗ «Уголовный кодекс Российской Федерации» (ст. 137 «Нарушение неприкосновенности частной жизни»);
- Трудовой кодекс РФ от 30.12.2001 г. № 197-ФЗ (ст. 85-90);
- Постановление Правительства Российской Федерации от 17.11.2007 г. № 781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных»;
- Постановление Правительства Российской Федерации от 15.09.2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
- Совместный приказ ФСТЭК России № 55, ФСБ России № 86, Мининформсвязи России № 20 от 13.02.2008 г. «Об утверждении порядка проведения классификации информационных систем персональных данных»;
- Гражданский кодекс РФ;
- Налоговый кодекс РФ;
- Устав учреждения.
- Категории персональных данных сотрудников ДОУ, воспитанников и родителей (законных представителей) несовершеннолетних:
- фамилия, имя, отчество;
- пол;
- дата рождения;
- место рождения;
- документ удостоверяющий личность;
- адрес регистрации;
- фактический адрес места жительства;
- номер полиса обязательного медицинского страхования;
- сведения о состоянии здоровья, находящиеся в медицинской карте воспитанника;
- социальное положение;
- жилищные условия;
- документы при установлении опеки;
- контактные телефоны; сведения о гражданстве;
- паспортные данные;
- сведения о воинской обязанности;
- сведения о трудовом стаже;
- сведения о предыдущем месте работы;
- сведения о составе семьи;
- сведения о социальных льготах;
- информация об образовании;
- СНИЛС;
- ИНН;
- сведения об аттестации;
- сведения о повышении квалификации;
- сведения о профессиональной переподготовке;
- сведения о наградах (поощрениях, почетных званиях);
- личное фото и фотографии;
- видеоматериалы с личным участием;
Цель обработки персональных данных: обеспечение наиболее полного исполнения образовательным учреждением своих обязанностей, обязательств и компетенций, определенных Федеральным законом «Об образовании», а также иными нормативно-правовыми актами Российской Федерации в области образования.
- Оператор вправе:
- размещать обрабатываемые персональные данные в автоматизированных информационных системах и бумажных носителях, с целью предоставления доступа к ним ограниченному кругу лиц: воспитанникам, родителям (законным представителям), а также административным и педагогическим работникам детского сада;
- размещать фотографии сотрудника, родителя (законного представителя),воспитанника (фамилию, имя, отчество) на стендах в помещениях дошкольной организации и на официальном сайте ДОУ);
- предоставлять данные сотрудника, воспитанника для участия в дошкольных городских, окружных, всероссийских и международных конкурсах, олимпиадах, викторинах, выставках и т.д.;
- производить фото- и видеосъемки сотрудника, воспитанника для размещения на официальном сайте ДОУ и СМИ с целью формирования положительного имиджа детского сада;
- включать обрабатываемые персональные данные сотрудника, родителя (законного представителя), воспитанника в списки (реестры) и отчетные формы, предусмотренные нормативными документами окружного, муниципального и дошкольного уровней, регламентирующих предоставление отчетных данных.
Кто такой ответственный за персональные данные
Все действия с персональными данными работников на предприятии регулируются Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Трудовым кодексом РФ, локальными нормативными актами. Априори за сохранность всей информации отвечает работодатель, но он вправе назначить лицо, ответственное за их обработку, защиту и контроль за соблюдением законодательства. Это не снимает ответственности с работодателя, но позволяет делегировать часть своих полномочий для рационального распределения своих обязанностей в этой сфере. Эти обязанности возлагаются либо на одного сотрудника, либо на группу из административно-управленческого аппарата. Они выполняются дополнительно наряду с основными трудовыми функциями сотрудника.
Кого назначить ответственным, решает работодатель. Специальных требований нет. Чаще всего эти обязанности поручаются тем работникам, которым для выполнения основного функционала необходим доступ к таким сведениям: специалист отдела кадров, бухгалтер, секретарь. Допускается поручить и любому другому сотруднику. Эта работа строго регламентирована локальными нормативными актами и должностной инструкцией.
В начальной части должностной инструкции ответственного за персональные данные перечисляются общие параметры профессиональной деятельности специалиста, базовые моменты. В этом разделе, как правило, определяются:
- наименование должности, основные требования к работнику — наличие у него специального образования, квалификации, стажа, опыта работы;
- лицо, назначающее на должность и освобождающее от должности;
- документы, которыми работник обязан руководствоваться в своей деятельности;
- порядок замещения работника, его субординация.
Особенно важны умения и навыки. Здесь указываются важные требования о знании законодательства в области персональных данных, организации труда, основ делопроизводства с использованием современных информационных технологий.
Штрафы за неуведомление Роскомнадзора
Если работодатель или любая другая компания, планирующая заключать договоры (соглашения) с физлицами, в том числе через свой официальный сайт, не представит уведомление в Роскомнадзор о планируемой обработке персональных сведений, ее оштрафуют по ст. 19.7 КоАП РФ. Данная норма устанавливает административную ответственность за непредставление или несвоевременное представление сведений в государственный орган, осуществляющий государственный контроль (надзор).
Величина штрафа для должностных лиц организации составит от 300 до 500 рублей. Такой же штраф уплатят и ИП, осуществившие обработку персональных данных без предварительного уведомления Роскомнадзора. При этом штраф для организаций устанавливается уже в размере от 3 000 до 5 000 рублей.
Что относится к персональным данным
Персональными данными считается любая информация о работнике предприятия, касающаяся его лично и задокументированная в каких-либо бумагах. В том числе это сведения из паспорта, ИНН, СНИЛС, трудовой книжки, диплома об образовании и других подобного рода аттестатах и свидетельствах, больничных карт и т.п.
Также сюда относится то, что касается семейного положения работника, его родственных связей, судимостей, финансовых дел и все прочее, что может прямо или косвенно идентифицировать человека.
Распоряжаться всеми этими данными любой гражданин может только лично, но поскольку в современных условиях это возможно далеко не всегда, он передает согласие на обработку персональных сведений другим лицам, в том числе представителю работодателя, который в свою очередь несет полную ответственность за сохранность этой конфиденциальной информации и недоступность к ней посторонних.
Как ввести в организации положение
Руководитель организации или лицо, уполномоченное им, издает приказ. Которым утверждает Положение о персональных данных. Именно так документ обретает юридическую силу в стенах организации. Если в организации есть представительный орган работника, учитывается его мнение.
Затем работодатель должен ознакомить каждого работника под роспись с указанным документом. Отсутствие самого Положения или подписи работника – основание привлечь работодателя по ст. 5.27 КоАП РФ.
Ознакомить можно путем получения подписи на отдельном листе, на самом Положении. Или указать в перечне документов, с которыми работник ознакомлен при подписании трудового договора. Возможно, в организации будет журнал ознакомления с локальными актами работодателя. А вот рассылать, например, по электронной почте, не стоит. Трудовой кодекс содержит требование ознакомить с документами под роспись.
Если при подготовке приказа об утверждении положения о персональных данных возникли трудности, можно задать вопросы дежурному юристу сайта.
Образец приказа о персональных данных работников 2019: с чего начать
На предприятии должен быть назначен сотрудник, ответственный за подготовку пакета документов о защите конфиденциальной информации. Такое назначение делается на основании соответствующего приказа руководителя. Назначенный сотрудник должен подготовить определенный пакет документов, среди которых:
- положение об обработке и защите конфиденциальной информации. Образец приказа об утверждении положения о персональных данных 2019 детально описан в специальном материале;
- образец приказа о хранении персональных данных;
- политика предприятия в отношении таких сведений;
- перечень лиц, имеющих доступ к ним;
- согласие на обработку;
- соглашение о неразглашении;
- журнал учета передачи данных.
Перечисленные документы вводятся в действие соответствующим распоряжением руководителя организации.
Как работать с личными сведениями?
Ст.86 ТК РФ указывает на то, что личные данные работника являются сведениями, необходимыми работодателю для вступления в трудовые отношения с конкретной персоной, при этом конкретного перечня необходимых для этого сведений законодательство не устанавливает.
Этой же статьей вводится понятие обработки, что включает в себя получение, хранение, комбинирование, передачу или любое другое использование личных данных работника. Эти данные сотрудник указывает на бланках специальной формы при оформлении по ТК РФ.
Более детально о законном порядке хранения и использования персональных данных работников на бумажных и электронных носителях узнайте тут.
Так, сведения обрабатываются при составлении личных дел, списков работников по организации, структурным подразделениям, должностям, квалификации, утверждении штатного расписания и др. Следующие документы сопровождают обработку:
- Положение о персональных данных работников организации.
- Согласие на обработку персональных данных.
- Согласие на запрос работодателем информации от третьих лиц.
- Приказ о назначении ответственного за организацию работы с персональными данными.
- Приказ об утверждении списка лиц, обладающих правом доступа к конфиденциальной информации о сотруднике.
Все сведения, касающиеся личности работника являются конфиденциальными. На деле, это говорит о необходимости строгого ограничения доступа к ним, а лица, такой доступ имеющие (согласно приказу для выполнения своих должностных обязанностей), могут работать с ними только с согласия владельца.
Ответственность за отсутствие
Сведения о сотрудниках необходимо защищать от неправомерного доступа. Проверку организации выполнения требований 152-ФЗ осуществляет Роскомнадзор.
В законе прямо не установлены виды нарушений и ответственность за них. 152-ФЗ отсылает работодателя к иным отраслевым законодательствам. Так, УК РФ содержит нормы, предусматривающие ответственность за неправомерное использование информации о сотрудниках.
Основная ответственность за нарушение норм 152-ФЗ — административная, которую можно понести за нарушение порядка сбора, хранения и использования сведений, за их непредоставление по запросу уполномоченных структур.
За нарушение 152-ФЗ должностное лицо может быть привлечено к дисциплинарной ответственности за ненадлежащее исполнение трудовых обязанностей при обработке информации, в том числе увольнению по пп. «в» п. 6 ст. 81 ТК РФ.
Кто должен расписаться в приказе
Свои подписи в приказе о защите персональных данных работников должны поставить несколько человек. Самый первый автограф: директора организации, поскольку именно от его лица выпускаются все распоряжения такого уровня.
Следующая подпись: работника, на которого возлагается контроль за исполнением приказа и, наконец, в нем должны расписаться сотрудники, в нем упомянутые (если только их подписи не будут собраны в отдельном акте об ознакомлении).
Печать в документе ставить в обязательном порядке не требуется, но она нужна в том случае, если условие о ее использование для визирования внутренней распорядительной документации есть в учетной политике компании.