Обработка и распространение персональных данных: бланки и образцы

Здравствуйте, в этой статье мы постараемся ответить на вопрос: «Обработка и распространение персональных данных: бланки и образцы». Если у Вас нет времени на чтение или статья не полностью решает Вашу проблему, можете получить онлайн консультацию квалифицированного юриста в форме ниже.

Закон не выдвигает особых требований к должности лица, назначенного ответственным за организацию обработки персональных данных. Напомним, что под «обработкой персональных данных» понимается любое действие или операция с персональными данными, включая их сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение (п. 3 ст. 3 Федерального закона от 27.07.2006 № 152 ФЗ «О персональных данных», далее – Закон о персональных данных).

Что относится к персональным данным работника

Персональные данные работника — это любая информация прямо или косвенно относящаяся к сотруднику, имеющаяся у работодателя.

К персональным данным относятся:

• фамилия, имя, отчество;
• пол, возраст;
• паспортные данные, СНИЛС, ИНН;
• образование, квалификация, профессиональная подготовка и сведения о повышении квалификации;
• место жительства;
• семейное положение, наличие детей, родственные связи;
• факты биографии и предыдущая трудовая деятельность (место работы, судимость, служба в армии, работа на выборных должностях, на государственной службе и др.);
• финансовое положение. Сведения о заработной плате также являются персональными данными (Письмо Роскомнадзора от 07.02.2014 N 08КМ-3681);
• деловые и иные личные качества, которые носят оценочный характер;
• номер телефона или электронная почта;
• прочие сведения, которые могут идентифицировать человека.

Каких-то особых условий оформления приказа нормативно не предусмотрено. При разработке документа можно использовать фирменный бланк компании. Для работодателя достаточно будет одного экземпляра, но при необходимости можно подготовить дополнительные копии.

Обычно текст документа набирают на компьютере и распечатывают на принтере. Далее приказ подписывает руководитель организации. Также свою подпись должен поставить сотрудник, на которого приказом возложена обязанность контроля исполнения данного распоряжения руководства. Наконец, приказ также подписывают остальные работники, которые в нем упоминаются.

Ставить печать на документе обязательно только в том случае, если требование об использование печати прописано в учетной политике компании.

Есть ли ответственность за отсутствие приказа

Закон о персональных данных требует, чтобы субъект бизнеса выбрал работника, который будет отвечать за работу с персональными данными. Это требование выполняется путем оформления приказа. Только это лицо должно иметь полный доступ к персональным данным, разграничивать доступ к ним и защищать от несанкционированного использования.

Внимание! Если данного приказа в компании нет, то это будет расценено, как прямое нарушение закона о персональных данных.

КОАП за данные нарушения предусматривает вынесение предупреждения, либо наложение денежного штрафа:

• на обычных граждан — 300-500 рублей;
• на должностных лиц — 500-1000 рублей;
• на организации — 5-10 тысяч руб.

Материалы и документы о защите персональных данных

Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). Защита персональных данных — комплекс мероприятий технического, организационного и организационно-технического характера, направленных на защиту сведений, относящихся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных). Нормативной основой защиты персональных данных являются нормы Конституции РФ, Федерального закона «О персональных данных», Указ Президента РФ «О перечне сведений конфиденциального характера» и другие акты. Правовой основой для него послужила Всеобщая декларация прав человека, провозглашенная Генеральной Ассамблеей Организации Объединенных Наций.

27 июля 2006 года был принят Федеральный закон № 152-ФЗ «О персональных данных» для обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну. Закон вступил в силу 1 июля 2011 года. Действие закона распространяется не только на бумажные носители, но и на электронные средства (такие как автоматизированные информационные системы и электронные базы данных).

Наше учреждение является оператором, осуществляющим обработку персональных данных сотрудников, воспитанников и их родителей (законных представителей), а также физических лиц, состоящих в иных договорных отношениях с учреждением. Для соблюдения требований закона «О персональных данных» (далее — ПДн) детский сад должен получить от сотрудников и родителей (законных представителей) каждого воспитанника СОГЛАСИЕ НА ОБРАБОТКУ ПДн (на основании статьи 6, п. 1 № 152-ФЗ «О персональных данных).

Учреждение обрабатывает и защищает сведения о сотрудниках, детях и их родителях (законных представителях) на правовом основании.

• Правовое основание защиты персональных данных:
• Конституция РФ;
• Федеральный закон от 27.07.2006 г. № 152-ФЗ «О персональных данных»;
• Федеральный закон от 29.12.2012 г. № 273-ФЗ «Об образовании в Российской Федерации»;
• Федеральный закон от 30.12.2001 г. № 195-ФЗ «Кодекс Российской Федерации об административных правонарушениях» (ст. 13.11 «Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных)»);
• Федеральный закон от 13.06.1996 г. № 63-ФЗ «Уголовный кодекс Российской Федерации» (ст. 137 «Нарушение неприкосновенности частной жизни»);
• Трудовой кодекс РФ от 30.12.2001 г. № 197-ФЗ (ст. 85-90);
• Постановление Правительства Российской Федерации от 17.11.2007 г. № 781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных»;
• Постановление Правительства Российской Федерации от 15.09.2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
• Совместный приказ ФСТЭК России № 55, ФСБ России № 86, Мининформсвязи России № 20 от 13.02.2008 г. «Об утверждении порядка проведения классификации информационных систем персональных данных»;
• Гражданский кодекс РФ;
• Налоговый кодекс РФ;
• Устав учреждения.
• Категории персональных данных сотрудников ДОУ, воспитанников и родителей (законных представителей) несовершеннолетних:
• фамилия, имя, отчество;
• пол;
• дата рождения;
• место рождения;
• документ удостоверяющий личность;
• адрес регистрации;
• фактический адрес места жительства;
• номер полиса обязательного медицинского страхования;
• сведения о состоянии здоровья, находящиеся в медицинской карте воспитанника;
• социальное положение;
• жилищные условия;
• документы при установлении опеки;
• контактные телефоны; сведения о гражданстве;
• паспортные данные;
• сведения о воинской обязанности;
• сведения о трудовом стаже;
• сведения о предыдущем месте работы;
• сведения о составе семьи;
• сведения о социальных льготах;
• информация об образовании;
• СНИЛС;
• ИНН;
• сведения об аттестации;
• сведения о повышении квалификации;
• сведения о профессиональной переподготовке;
• сведения о наградах (поощрениях, почетных званиях);
• личное фото и фотографии;
• видеоматериалы с личным участием;

Цель обработки персональных данных: обеспечение наиболее полного исполнения образовательным учреждением своих обязанностей, обязательств и компетенций, определенных Федеральным законом «Об образовании», а также иными нормативно-правовыми актами Российской Федерации в области образования.

• Оператор вправе:
• размещать обрабатываемые персональные данные в автоматизированных информационных системах и бумажных носителях, с целью предоставления доступа к ним ограниченному кругу лиц: воспитанникам, родителям (законным представителям), а также административным и педагогическим работникам детского сада;
• размещать фотографии сотрудника, родителя (законного представителя),воспитанника (фамилию, имя, отчество) на стендах в помещениях дошкольной организации и на официальном сайте ДОУ);
• предоставлять данные сотрудника, воспитанника для участия в дошкольных городских, окружных, всероссийских и международных конкурсах, олимпиадах, викторинах, выставках и т.д.;
• производить фото- и видеосъемки сотрудника, воспитанника для размещения на официальном сайте ДОУ и СМИ с целью формирования положительного имиджа детского сада;
• включать обрабатываемые персональные данные сотрудника, родителя (законного представителя), воспитанника в списки (реестры) и отчетные формы, предусмотренные нормативными документами окружного, муниципального и дошкольного уровней, регламентирующих предоставление отчетных данных.

Кого можно назначить ответственным

В Законе № 152-ФЗ нет специальных требований, которые предъявляются к такому лицу. Системный анализ законодательства о персональных данных и сложившейся практики позволяет предположить, что ответственным можно назначить (п. 7.1 ч. 3 ст. 22 Закона № 152-ФЗ, Методические рекомендации, направленные письмом Минкомсвязи от 28.08.2020 № ЛБ-С-074-24059):

• сотрудника оператора, в том числе руководителя организации, если в штате нет подходящего для этой цели работника;
• иную организацию или ИП, специально привлеченных для этой цели.

Исключение — оператор, являющийся государственным или муниципальным органом, в котором ответственным может быть только (пп. «а» п. 1 Перечня, утв. Постановлением Правительства РФ от 21.03.2012 № 211):

• государственный или муниципальный служащий этого органа;
• сотрудник этого органа, с которым заключен трудовой договор и который замещает должность не из числа должностей ГГС РФ.

Должностная инструкция

Права, функции и обязанности этого специалиста, пределы его полномочий определяет и детализирует должностная инструкция ответственного за обработку персональных данных — особый организационно-распорядительный документ, в котором определен порядок действий при каждой операции с персональными данными. Четкая форма инструкции законодательно не установлена. Допускается просто перечислить в ней основные должностные обязанности. Но чем подробнее будут описаны все производственные процессы, тем меньше вероятность возникновения разногласий как с работниками, так и с законодательством.

Самый распространенный вид инструкции — документ, содержащий следующие разделы:

• общие положения;
• функции;
• обязанности;
• права;
• ответственность.

Также в документе прописывают положения о порядке его изменения, ссылки на законодательные акты.

В каких случаях потребуется уведомление Роскомнадзора

С 1 сентября 2022 года компании обязаны уведомлять Роскомнадзор о намерении осуществлять обработку следующих персональных данных (новая редакция ч. 2 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ):

• получаемых и обрабатываемых в рамках трудового законодательства;
• получаемых при заключении договора с физлицом, по которому персональные данные не распространяются и не предоставляются третьим лицам без согласия самого физлица и используются компанией исключительно для исполнения заключаемого договора;
• относящихся к членам и участникам общественных объединений или религиозных организаций и обрабатываемых соответствующими организациями и объединениями;
• разрешенных физлицом для распространения;
• включающих в себя только фамилии, имена и отчества физлиц;
• необходимых в целях однократного пропуска физлица на территорию, на которой находится компания, или в иных аналогичных целях.

Как уведомить Роскомнадзор о сборе персональных данных

Конкретный срок направления уведомления законодательством не установлен. Главное – уведомить Роскомнадзор до начала обработки тех или иных персональных сведений. Уведомление представляется по форме, утв. приказом Роскомнадзора от 30.05.2017 № 94. Представить его нужно в управление Роскомнадзора по субъекту РФ по месту регистрации компании в налоговом органе. В уведомлении нужно указать (ч. 3 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ):

• наименование компании (ФИО ИП) и ее адрес;
• цель обработки персональных данных (например, заключение трудовых договоров);
• категории персональных данных (в частности, персональные данные, необходимые для оформления трудовых правоотношений);
• категории субъектов, персональные данные которых обрабатываются (работники компании, покупатели и т.д.);
• правовое основание обработки персональных данных;
• перечень действий с персональными данными, общее описание используемых способов обработки персональных данных (например, автоматизированная обработка персональных данных с передачей полученной информации по сети или без таковой, смешанная обработка персональных данных и т.д.);
• сведения о наличии у компании шифровальных (криптографических) средств и наименования этих средств;
• ФИО сотрудника, ответственного за организацию обработки персональных данных, номер его контактного телефона, почтовый адрес и адрес электронной почты;
• предполагаемая дата начала обработки персональных данных;
• срок или условие прекращения обработки персональных данных;
• сведения о наличии или об отсутствии трансграничной передачи персональных данных в процессе их обработки;
• сведения о месте нахождения базы данных информации, содержащей собираемые персональные данные;
• сведения об обеспечении безопасности персональных данных.

Направить уведомление можно следующими способами:

• в бумажном виде,
• в электронном виде с использованием усиленной квалифицированной электронной подписи,
• в электронном виде с использованием средств аутентификации ЕСИА.

Что относится к персональным данным

Персональными данными считается любая информация о работнике предприятия, касающаяся его лично и задокументированная в каких-либо бумагах. В том числе это сведения из паспорта, ИНН, СНИЛС, трудовой книжки, диплома об образовании и других подобного рода аттестатах и свидетельствах, больничных карт и т.п.

Также сюда относится то, что касается семейного положения работника, его родственных связей, судимостей, финансовых дел и все прочее, что может прямо или косвенно идентифицировать человека.

Распоряжаться всеми этими данными любой гражданин может только лично, но поскольку в современных условиях это возможно далеко не всегда, он передает согласие на обработку персональных сведений другим лицам, в том числе представителю работодателя, который в свою очередь несет полную ответственность за сохранность этой конфиденциальной информации и недоступность к ней посторонних.

Структура акта о персональных данных

Персональные данные работника работодатель обрабатывает исключительно в рамках трудового договора. Только в целях трудовой деятельности в связи с трудовыми отношениями. И работник в силу ст. 86, 68 ТК РФ обязательно должен быть знаком с Положением о персональных данных. Его работодатель составляет на основании Трудового кодекса и Закона о персональных данных.

Структура документа может выглядеть следующим образом:

1. Общие положения. Или цель, нормативно-правовая основа документа. Все то, о чем мы говорили выше. Общие принципы (ст. 86 ТК РФ).
2. Основные понятия. Состав персональных данных работников. Здесь можно указать, какие документы организации содержат персональные данные, общие понятия (Закон о персональных данных).
3. Обработка персональных данных. Доступ к персональным данным. Здесь указываем условия, ограничиваем доступ к данным. Перечень лиц и уровень доступа лучше отдельно упомянуть в приказе об утверждении Положения. Или в отдельном приказе.
4. Передача персональных данных. Как внутри организации, так и третьим лицам и государственным органам.
5. Ответственность за нарушение Положения.

Все общие правила, которые входят в структуру Положения, на сайте рассмотрены с точки зрения актуального законодательства, в том числе трудового.

Принимая на работу сотрудника, работодатель получает от него следующие данные личного характера:

• Ф.И.О.;
• адрес регистрации и места проживания;
• серию и номер паспорта;
• номер свидетельства ИНН;
• СНИЛС;
• о количестве детей, датах их рождения;
• о семейном положении;
• о предыдущей работе, сроках, причинах увольнения.

Согласно ст. 86-90 ТК РФ организация-работодатель должна придерживаться правил:

• обработки личной информации сотрудников;
• хранения и пользования данными;
• передачи личных данных работников.

На основании ФЗ «О персональных данных» работникам предоставляется право требовать защиту сообщаемых работодателю сведений. Для обеспечения надлежащей работы с личными данными сотрудников каждая организация разрабатывает Положение о персональных данных работников. В этом документе устанавливаются:

• какие сведения относятся к категории «персональных»;
• кто имеет доступ к сведениям работников личного характера;
• как осуществляется сохранность персональных данных (на каком носителе);
• в каком порядке происходит обработка информации;
• где фиксируются сведения о сотрудниках (оформляются ли личные дела, карточки, ведутся ли списки и т.д.);
• на каких основаниях и кому могут передаваться данные о работнике;
• как защищается доступ к данным (закодирована ли электронная информация, устанавливается ли сейф для материальных носителей);
• порядок его утверждения и изменения.

Приложение может включать образцы заявлений работников:

• о согласии с обработкой своих личных данных;
• о согласии получения дополнительных сведений в отношении работника.

Типовой вариант такого документа по указанию руководства может быть разработан:

• специалистом по кадрам;
• юристом компании;
• помощником руководителя.

Положение о персональных данных является принадлежащим к категории локальных актов предприятия. Его структура не должна противоречить действующему законодательству РФ.

Работодатель обязан не просто разработать документ, регламентирующий порядок хранения и использования информации о сотрудниках, он должен ввести его в действие. Именно для этого работодателем составляется распоряжение об утверждении разработанного положения.

Как работать с личными сведениями?

Ст.86 ТК РФ указывает на то, что личные данные работника являются сведениями, необходимыми работодателю для вступления в трудовые отношения с конкретной персоной, при этом конкретного перечня необходимых для этого сведений законодательство не устанавливает.

Этой же статьей вводится понятие обработки, что включает в себя получение, хранение, комбинирование, передачу или любое другое использование личных данных работника. Эти данные сотрудник указывает на бланках специальной формы при оформлении по ТК РФ.

Более детально о законном порядке хранения и использования персональных данных работников на бумажных и электронных носителях узнайте тут.

Так, сведения обрабатываются при составлении личных дел, списков работников по организации, структурным подразделениям, должностям, квалификации, утверждении штатного расписания и др. Следующие документы сопровождают обработку:

• Положение о персональных данных работников организации.
• Согласие на обработку персональных данных.
• Согласие на запрос работодателем информации от третьих лиц.
• Приказ о назначении ответственного за организацию работы с персональными данными.
• Приказ об утверждении списка лиц, обладающих правом доступа к конфиденциальной информации о сотруднике.

Все сведения, касающиеся личности работника являются конфиденциальными. На деле, это говорит о необходимости строгого ограничения доступа к ним, а лица, такой доступ имеющие (согласно приказу для выполнения своих должностных обязанностей), могут работать с ними только с согласия владельца.

Приказ может состоять из следующих разделов:

1. Общие положения. В разделе указывается цель принятия положения и круг вопросов, которые оно регулирует.
2. Основные понятия. Состав сведений о работниках. Необходимо указать, какие конкретно документы в организации содержат указанные данные.
3. Обработка данных. В разделе указаны условия, которые должны быть соблюдены при обработке.
4. Передача данных. Необходимо установить порядок передачи сведений внутри организации, сторонним лицам и государственным органам.
5. Доступ к данным. Включается информация о порядке внутреннего и внешнего доступа к данным о сотрудниках.
6. Ответственность за нарушение норм, регулирующих обработку и защиту информации. Указать, кто в организации несет ответственность за нарушение правил ее хранения и использования.

Положение о персональных данных нужно довести до сведения всех сотрудников. Фактическое ознакомление с положением можно зафиксировать в тексте трудового договора, в положении в листе ознакомления с ним или в журнале ознакомления с локальными нормативными актами учреждения.

Иногда информация о сотруднике меняется (например, в связи с замужеством происходит смена фамилии). В таком случае сотрудник направляет работодателю заявление, на основании которого последний издает приказ о внесении изменений в ряд документов.

Когда дается обязательство о неразглашении персональных данных

Персональные данные (далее — ПД) работника должны быть надежно защищены от доступа третьих лиц. За нарушение правил работы с личной информацией предусмотрена различного рода ответственность.
В соответствии со ст. 88 ТК РФ разрешение на доступ к ПД сотрудникам организации предоставляет работодатель. При этом, в соответствии с п. 7 ч. 1 ст. 86 ТК РФ, именно работодатель обязан обеспечить сохранность ПД от доступа третьих лиц. Для этого принимаются различные меры, которые не позволят посторонним получить доступ к личным данным сотрудников.

В числе мер, которые могут быть использованы для обеспечения конфиденциальности, — оформление обязательства о неразглашении персональных данных.

Что это такое — сведения о потребителе?

Персональные данные – это любые сведения, позволяющие установить личность потребителя. Нормативной основой для работы с такого рода информацией является закон РФ «О персональных данных» от 27.07.2006 (далее – закон). В этот нормативный документ неоднократно вносились изменения и дополнения и сейчас действует его редакция от 29.07.2017.

Действие закона распространяется только на физических лиц. Персональные данные – это термин, связанный только с людьми. В понятие положение о защите и обработке персональных данных не включается информация о предприятиях, учреждениях, организациях и контрагентов.

В число конфиденциальной информации о потенциальном покупателе может входить его фамилия, имя, дата и место рождения, адрес проживания, пол, семейный статус и иные данные, имеющие отношение к конкретному человеку.

Кто должен расписаться в приказе

Свои подписи в приказе о защите персональных данных работников должны поставить несколько человек. Самый первый автограф: директора организации, поскольку именно от его лица выпускаются все распоряжения такого уровня.

Следующая подпись: работника, на которого возлагается контроль за исполнением приказа и, наконец, в нем должны расписаться сотрудники, в нем упомянутые (если только их подписи не будут собраны в отдельном акте об ознакомлении).

Печать в документе ставить в обязательном порядке не требуется, но она нужна в том случае, если условие о ее использование для визирования внутренней распорядительной документации есть в учетной политике компании.

Похожие записи:

• Какие пособия и льготы положены тем, у кого есть дети. Большой обзор МТБлога
• Алименты на ребёнка в 2023: сколько платят и как взыскать
• Как правильно оформить дарственную (договор дарения) на земельный участок?