Как составить положение о персональных данных работников

Положение о персональных данных работников 2022: образец с приложениями

Обязательным документом для каждой компании является положение о персональных данных, в котором устанавливаются правила обращения со сведениями о работниках.

Что такое положение о персональных данных работников?

Работа с персональными данными работников регулируется внутренним документом организации – соответствующим Положением. Обязательность его наличия обусловлено требованием ст. 87 ТК .

Все действия, связанные с получением, обработкой, изменением и т.д. данных индивидуального характера, подчиняются нормативам Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее Закон).

Пункт 2 часть 1 статья 18.1 Закона дает понятие персональным данным (далее ПД), к которым относят любую информацию, касающуюся субъекта прямо или косвенно, позволяющего идентифицировать его. Если говорит о работнике, как субъекте ПД, то работодатель использует следующие параметры:

• фамилия, имя и отчество;
• информация о рождении: место и дата;
• данные паспорта;
• ИНН;
• СНИЛС;
• адрес по прописке и фактического проживания;
• сведения об образовании;
• информация о стаже работы.

Все данные заносятся в личное дело сотрудника и пополняются в течение трудовой деятельности иной информацией персонального характера. Для организации работы, работодатель должен разработать Положение, в котором закрепить порядок и правила получения, хранения, использования полученных ПД работников.

Для чего необходимо положение о персональных данных работников?

Согласно положений Закона № 152-ФЗ, работодатель при приеме граждан на работу становится оператором обработки их личных данных. Это значит, что он берет на себя ответственность по сбору, хранению, обработке и иных действий в отношении получаемых сведений и вправе осуществлять их при помощи средств автоматизации или без них.

Работодатель обязан хранить личные дела своих сотрудников в соответствии со ст. 22.1 Федерального закона от 22.10.2004 № 125-ФЗ и затем передавать их на хранение в архив. Чтобы не допустить утечку персональных данных, должен быть применен комплексный подход к этой работе. Для чего необходимо составить и утвердить соответствующее Положение.

Структура положения

Каждая организация вправе самостоятельно разработать Положение, законодатель не устанавливает его строгой формы. Обязательным является наличие следующих разделов:

Раздел должен содержать цели, для которых документ составлен, а также перечисление данных, которые относятся к персональным. Все формулировки можно перенести из ст. 3 Закона.

1. Основные понятия и состав персональных данных.

Руководствуйтесь при составлении этого раздела ст. 3 Закона. Укажите также документы работников, в которых содержатся их ПД:

• документы, на основании которых оформляется трудовой контракт;
• трудовые книжки;
• личные дела работников;
• отчетность налоговая, статистическая и т.д.;
• приказы по организации и их копии.

1. Обработка персональных данных.

Перечислите все условия, которые необходимо соблюдать при обращении с ПД. Соотнесите их с теми, что указаны в ст. 6 Закона.

1. Передача персональных данных.

Определите правила передачи и получения ПД как внутри организации, так и третьим лицам. Здесь же укажите, как и где они хранятся (обычно это отдел кадров и бухгалтерия, где сведения о работниках хранятся в бумажном и электронном виде).

1. Доступ к персональным данным.

Доступ к ПД сотрудников строго ограничен кругом лиц, которые используют их в процессе осуществления своих должностных полномочий. Перечислите должности, кто вправе получать и обрабатывать такие сведения, и их действия с ПД.

1. Ответственность за нарушение норм в отношении обработки и защиты персональных данных.

Закрепите меру ответственности за работниками в случае нарушений правил данного Положения. Степень ответственности избирается в соответствии со ст. 90 ТК РФ.

Положение о персональных данных вводится в действие на основании приказа руководителя.

Обязательным является ознакомление с текстом Положения всех сотрудников организации, в том числе вновь принимаемых (ч. 2 ст. 22, ст. 68 ТК). Подтверждается этот факт одним из способов:

• личной подписью в трудовом договоре, где содержится отсылка на действующее Положение;
• личной подписью в листе ознакомления к Положению или журнале ознакомлений с приказами и распоряжениями.

При несоблюдении порядка обращения с персональными данными, если отсутствует Положения или не ознакомлен сотрудник с ним, руководитель может быть привлечен к административной ответственности в соответствии со ст. 5.27 КоАП.

Скачать образец положения о персональных данных работников 2022 года

Какая предусмотрена ответственность за разглашение

Конституция РФ обеспечивает каждому гражданину право на неразглашение личных данных. Сбор, сохранность и распространение сведений о жизни гражданина без его ведома запрещены. Тем не менее, при оформлении его на фирму от него зачастую запрашивают информацию личного характера.

Кто, при таких обстоятельствах отвечает за недопущение утечки предоставленных данных?

Личная информация может отображаться в резюме, при собеседовании, при заполнении трудового соглашения. ТК РФ в ст. 65 определяет список материалов, требуемых при подписании трудового соглашения:

1. Паспорт или другое удостоверение.
2. Трудовая книжка, кроме вариантов, когда человек устраивается на работу впервые или при совместительстве.
3. Страховой документ пенсионной страховки.
4. Воинский билет.
5. Документ, подтверждающий образование, специальность, а также прочие документы, отображенные в Законе РФ.

Отвечает за утечку личных сведений учреждение, а также должностные работники:

• Отдел кадров.
• Сотрудник, назначенный приказом руководства.
• Сотрудник, заключивший трудовое соглашение об ответственности за утечку сведений.

В обязанности отдела кадров каждого учреждения входит подбор сотрудников, а также накопление, обработка, сохранность личных данных работающих в учреждении. Эта информация является конфиденциальной и обеспечивается защитой согласно Закону РФ. Поэтому, одной из задач отдела кадров является обеспечение безопасности полученных данных, их защищенность от возможных злоумышленников.

Так, УК РФ в ст. 137 определяет, что противозаконная утечка информации о частной жизнедеятельности человека без его ведома, при публичном распространении или в СМИ наказывается:

• Штрафом до 200 000 рублей.
• Размером дохода, осужденного лица до 18-ти месяцев.
• Принудительным трудом от 120-ти до 180-ти часов.
• Исправительными сроками до 1-го года.
• Арестом до 4-х месяцев.

Действия, осуществляемые работником, злоупотребляющим своими обязанностями, наказываются:

• Штрафом от 100 000 до 300 000 рублей.
• Зарплатой или прочим доходом, осужденного от 1-го до 2-х лет.
• Запретом занятия должности или занятия указанной деятельностью от 2-х до 5-ти лет.
• Арестом от 4-х до 6-ти месяцев.

Защищенность конфиденциальных сведений регламентируется ст. 13.14 КоАП РФ. Если сотрудник, имеющий доступность к таким сведениям при исполнении должностных функций, разгласил их, то на данного сотрудника накладывается штраф от 40 до 50 МРОТ.

К уголовному или административному наказанию могут подвергаться руководитель учреждения, менеджер отдела, не обеспечивающие сохранность личных данных работающего, или другой работающий, допустивший утечку личных сведений.

Сохранность личной информации обеспечивается следующими нормативными материалами:

1. Конституцией РФ (ст. 23, 24).
2. ТК РФ (ст. 86).
3. ФЗ № 24 от 20.02.1995 года.
4. ТК РФ (ст. 90, подп. «в» п. 6 ст. 81).

Изменения в правилах работы с персональными данными сотрудников в 2024 году

В 2024 году произошли законодательные изменения, которыми было утверждено, что согласие на обработку данных, разрешенных гражданином к передаче, необходимо оформлять отдельно от иных видов согласий. То есть стандартного документа от работника уже недостаточно, для этого необходимо отдельное согласие, даже в том случае, если человек указал в стандартном документе, что он не против передачи его сведений другим лицам. 

Случаи, когда необходимо отдельное согласие физического лица:

1. Организация занимается распространением данных неограниченному кругу лиц.
2. Организация занимается передачей информации третьим лицам.

К примеру, если компания намерена разместить данные сотрудника на своем сайте, то ей необходимо получить у человека отдельное согласие на передачу такой информации.

Для чего нужна комиссия?

Комиссия является коллегиальным органом, во главе которой стоит председатель. Состав комиссии определяется руководителем организации. Задача комиссии состоит в создании мер по защите личных сведений при обработке, а также в проведении проверок соблюдения законодательства о защите персональных данных. Комиссия участвует в проверке документов, определяющих защиту персональной информации, с целью выявления нарушений.

Обо всех изменениях, которые касаются личных сведений, комиссия также должна оповестить сотрудников.

Комиссия осуществляет свою деятельность в соответствии с разрабатываемыми им регламентом и планом работы. Результаты работы предоставляются руководителю предприятия.

Как утверждается положение

В каждом учреждении должно быть разработано Положение о защите личных данных.

При составлении Положения его содержание необходимо согласовать с менеджерами подразделений, которые обладают доступностью к личной информации, и с юридическим отделом.

Разработанное Положение утверждается приказом руководства учреждения. В случае редактирования содержания Положения также оформляется Приказ.

Работники, оформляемые на фирму, обязаны ознакомится с Положением до заключения трудового соглашения. Подтверждение ознакомления с Положением осуществляется работодателем по его усмотрению. Некоторые учреждения ведут книгу ознакомления с нормативными материалами. Работник может по желанию обращаться к тексту Положения в любое время.

Для упрощения процедуры ознакомления, можно Положение выложить в ресурсы локального электронного доступа.

Правильное сообщение об утечке персональных данных

Вступил в силу Порядок взаимодействия Роскомнадзора и операторов ПД в рамках ведения реестра учета инцидентов в области ПД (утв. Приказом Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 14 ноября 2022 г. № 187). 

Уведомление может быть первичным (должно быть представлено в течение 24 часов) или дополнительным (предоставляется в течение 72 часов).

Первичное уведомление должно содержать сведения о произошедшем инциденте, его возможных причинах, предполагаемом вреде субъекту ПД, а также возможные меры по устранению вреда.

Дополнительное уведомление должно содержать сведения о результатах внутреннего расследования инцидента с указанием виновных лиц в случае, если в ходе расследования они были выявлены.

Отметим, что у Роскомнадзора есть право запросить дополнительную информацию, если он посчитает, что предоставленные оператором сведения были недостаточными или недостоверными. В таком случае у оператора появляется обязанность предоставить запрашиваемые сведения в 3-дневный срок.

Роскомнадзор может направить оператору требование о предоставление уведомления, если обнаружит утечку его баз данных. Направляя в ответ уведомление, оператор ПД вправе указать, что не выявлял факта утечки данных и приложить доказательства того, что утечки не было. В качестве такого доказательства может выступать акт, содержащий результаты внутреннего расследования. 

Ошибки

При работе с Положением о данных в отношении работников работодатели допускают некоторые ошибки:

1. При разработке документа не составляется приказ о его утверждении. При этом работодатель заблуждается в том, что разработка Положения равнозначна введению его в действие или согласию работников на сбор личной информации. На работодателя, который осуществляет обработку таких сведений без письменного согласия субъекта, может быть наложена санкция в виде штрафа в размере:
   • до 70 тысяч рублей (для юридического лица);
   • до 5 тысяч рублей (для ИП).

Если Положение о персональных данных не доведено до всеобщего сведения, на работодателя может быть возложена ответственность по КоАП РФ в размере до 30 тысяч рублей. При привлечении к ответственности работодатель может наказать сотрудника, отвечающего за сбор и хранение информации на рабочем месте (например, объявить выговор). При повторном нарушении соответствующий работник может быть уволен.

В документе установлена обязанность представления сотрудником информации о состоянии здоровья, о религиозных или политических предпочтениях, что является незаконным. Исключение составляют случаи, когда получение таких данных:

• обусловлено требованиями законодательных актов (например, при поступлении на службу в органы полиции, прокуратуры и т.д.);
• необходимо по запросу контролирующих органов (полиции, прокуратуры и т.д.);
• производится с добровольного согласия работника, предоставленного в письменном виде.

Ответственность работодателя

За нарушение установленных законом требований в области защиты ПД, на основании ст. 90 ТК РФ предусмотрены различные виды ответственности:

• материальная — при нанесении материального ущерба нарушениями в обращении с персональными данными (ст. 232, 233 ТК РФ);
• дисциплинарная — нарушитель может быть подвергнут актом руководителя дисциплинарному взысканию, такому как замечание, выговор, увольнение, на основании ст. 192 ТК РФ;
• гражданско-правовая ответственность — например, возмещение убытков по ст. 15 ГК РФ, компенсация морального вреда по ст. 151 ГК РФ;
• ответственность административного характера, предусмотренная ст. 13.11 КоАП РФ;
• уголовная ответственность — за нарушения, повлекшие серьезные или тяжкие последствия (например, публичное распространение частных данных), по ст. 137 УК РФ.

***

Подведем итоги:

• под понятие ПД подпадает любая информация, относящаяся к конкретному работнику;
• обработка данных осуществляется в соответствии со ст. 86 ТК РФ и требованиями внутреннего Положения организации;
• содержание Положения не устанавливается на законодательном уровне, но в силу закона оно должно регулировать порядок хранения и использования ПД;
• Положение является локальным (внутренним) документом, потому принимается по общим правилам принятия таких актов в организации (ст. 8 ТК РФ);
• за нарушение правил обработки и распространения ПД нарушитель несет различные виды ответственности (от дисциплинарной до уголовной).

***

Больше полезной информации по теме — в рубрике «Персональные данные». 

Требования к согласию

Основные требования к согласию установлены ст. 10.1 Закона № 152-ФЗ.

Составляя согласие, работодатель должен предоставить работнику возможность определить список тех персональных данных, которые он разрешает распространять, по каждой категории (общие, специальные, биометрические).

В согласии должно быть четко сформулировано, на что конкретно согласен работник. Если он не согласен с распространением или не указал специальные условия обработки для некоторых категорий персональных данных и их перечень – такие сведения можно только обрабатывать, без распространения (передачи, предоставления и иных действий) неограниченному кругу лиц.

Если из согласия не совсем понятно, что можно делать с ПД, а что нельзя, лучше ничего не публиковать.

Получает согласие работодатель в первую очередь непосредственно от работника. А с 1 июля 2021 года его можно будет оформить с использованием инфосистемы Роскомнадзора.

Работодатель обязан опубликовать информацию об условиях обработки персональных данных и запретах, наложенных субъектом, в течение трех дней после получения согласия. Где ее публиковать – пока непонятно. Придется ждать разъяснений Роскомнадзора.

Нельзя запретить публиковать персональные данные, если они распространяются в государственных, общественных и иных публичных интересах, определенных законами РФ.

Работник может в любой момент потребовать запретить распространение своих ПД. Это требование должно включать в себя фамилию, имя, отчество (при наличии), контактную информацию (номер телефона, адрес электронной почты или почтовый адрес) субъекта ПД и перечень данных, обработка которых подлежит прекращению. Действие согласия прекращается с момента получения работодателем такого требования.

Обратиться с запретом на распространение своих ПД субъект может к любому лицу, обрабатывающему его данные, при несоблюдении этим лицом требований ст. 10.1 Закона № 152-ФЗ. Можно и обратиться в суд. Распространение данных должно прекратиться:

• в течение трех рабочих дней с момента обращения;

• или в срок, указанный в постановлении суда;

• или в течение трех рабочих дней с момента вступления решения суда в законную силу.

Положения ст. 10.1 Закона № 152-ФЗ не распространяются на случаи обработки персональных данных органами власти.

Последствия нарушения закона

Какова политика Роскомнадзора в отношении обработки данных и обеспечении их безопасности? Работодатели организаций могут получать письма от Роскомнадзора, которые предупреждают о возможности при проверке получить серьезные штрафы за нарушение закона № 152-ФЗ от 27.07.2006 “О персональных данных”.

За нарушение закона предусмотрены меры дисциплинарной, материальной, административной и уголовной ответственности. Административная ответственность предусмотрена ст. 13.11 и 13.14 КоАП. Материальная ответственность в виде штрафов составляет:

• для должностных лиц 500 – 1000 руб.;
• для организации 5000 – 10 000 руб.;
• для должностных лиц (в связи с исполнением служебных обязанностей) 4000 – 5000 руб.

Правовая основа

Принимая на работу сотрудника, работодатель получает от него следующие данные личного характера:

• Ф.И.О.;
• адрес регистрации и места проживания;
• серию и номер паспорта;
• номер свидетельства ИНН;
• СНИЛС;
• о количестве детей, датах их рождения;
• о семейном положении;
• о предыдущей работе, сроках, причинах увольнения.

Согласно ст. 86-90 ТК РФ организация-работодатель должна придерживаться правил:

• обработки личной информации сотрудников;
• хранения и пользования данными;
• передачи личных данных работников.

На основании ФЗ «О персональных данных» работникам предоставляется право требовать защиту сообщаемых работодателю сведений. Для обеспечения надлежащей работы с личными данными сотрудников каждая организация разрабатывает Положение о персональных данных работников. В этом документе устанавливаются:

• какие сведения относятся к категории «персональных»;
• кто имеет доступ к сведениям работников личного характера;
• как осуществляется сохранность персональных данных (на каком носителе);
• в каком порядке происходит обработка информации;
• где фиксируются сведения о сотрудниках (оформляются ли личные дела, карточки, ведутся ли списки и т.д.);
• на каких основаниях и кому могут передаваться данные о работнике;
• как защищается доступ к данным (закодирована ли электронная информация, устанавливается ли сейф для материальных носителей);
• порядок его утверждения и изменения.

Приложение может включать образцы заявлений работников:

• о согласии с обработкой своих личных данных;
• о согласии получения дополнительных сведений в отношении работника.

Типовой вариант такого документа по указанию руководства может быть разработан:

• специалистом по кадрам;
• юристом компании;
• помощником руководителя.

Положение о персональных данных является принадлежащим к категории локальных актов предприятия. Его структура не должна противоречить действующему законодательству РФ.

Работодатель обязан не просто разработать документ, регламентирующий порядок хранения и использования информации о сотрудниках, он должен ввести его в действие. Именно для этого работодателем составляется распоряжение об утверждении разработанного положения.

Сроки хранения документов

В соответствии с ФЗ «О персональных данных» работодатель должен хранить все локальные акты об обращении с информацией в отношении работников в течение всего срока своей деятельности. Таким образом, наряду с Положением, в организациях постоянно должен храниться и приказ о его утверждении.

Приказ Министерства культуры России от 25.08.2010 №558 устанавливает, что сами сведения в отношении работников, в том числе личные дела, заявления, личные карточки, хранятся в течение 75 лет, в отношении руководителей – постоянно. Результаты обработки информации о среднем возрасте, об образовании, стаже сотрудников государственной службы хранятся постоянно.

Пошаговая инструкция по составлению

В документе обязательно освещаются такие факторы:

Порядок хранения.Работодателю необходимо составлять правила, касающиеся порядка хранения и использования информации, опираясь на Федеральный закон. Эти правила закрепляются в нормативном акте, чаще всего это “Положение о защите персональных данных работников”.
Личная информация о работниках хранится в особых папках в специально отведенных помещениях с личными делами сотрудников. Еще один способ хранения – электронные базы (в таком случае нужно иметь резервную копию).

Использование.Утверждается в том же нормативном акте – Положении. Информация может использоваться только для решения рабочих вопросов

Передавать ее третьим лицам разрешается только после уведомления в этом сотрудника и его письменного согласия, учитывая, что передавать можно лишь ту информацию, которая требуются для решения той или иной проблемы.
Если использование данных касается таких вопросов, как занесение в личное дело, согласие сотрудника не нужно.

Важно. Перед началом использования данных, находящихся на хранении, необходимо уведомить Роскомнадзор.

Подробнее об основных принципах и понятиях при работе Роскомнадзора с персональными данными и обращениями граждан читайте тут.

Разграничение прав доступа к обрабатываемым данным.

Доступ к личным сведениям имеют только уполномоченные лица. Информация об этом должна содержаться в определенных приказах или инструкциях.

С письменного разрешения сотрудников могут существовать общедоступные списки с их личными сведениями (инициалы, телефоны, адреса).

Общие положения.

В данном разделе допустимо ссылаться на ФЗ «О персональных данных» №152, Трудовой кодекс и Конституцию РФ. Также стоит определить порядок обработки информации о сотрудникахорганизации.

Сведения об обработке персональных данных.

В этом разделе необходимо подробно расписать, каким образом будет использоваться и храниться личная информация сотрудника. Составление раздела об использовании производится с опорой на Федеральный закон и Трудовой кодекс. Хранение осуществляется особым образом (см. пункт 1).

Права и обязанности.

Работник обладает правами, закрепленными в Трудовом кодексе. Он может:

• знать характер информации, хранящейся у работодателя, ее содержание, а также способ сбора и обработки;
• иметь возможность доступа к личной информации;
• получать медицинские данные о своем здоровье;
• иметь возможность корректировать или исключать неверную информацию о себе;
• иметь информацию о манипуляциях со своими личными данными;
• определять представителей для защиты персональных данных;
• обращаться в суд при обнаружении неправомерных действий работодателя.

Работник обязан предоставлять верные сведения о себе.

Ответственность.

Непосредственный доступ к личным сведениям всех сотрудников имеют уполномоченные лица, именно они будут нести ответственность в случае утечки данных. За это сотрудник может быть привлечен к следующим видам ответственности (ст.90 ТК РФ):

• дисциплинарная (применяется работодателем при допущении сотрудником небольшого проступка, не приводящего к серьезным последствиям; сотруднику может быть сделан выговор, применено взыскание или осуществлено увольнение);
• материальная (применяется к сотруднику в случае, если работодатель вынужден был компенсировать урон, нанесенный работнику, чьи персональные данные были разглашены);
• административная (штраф в этом случае составляет 3-5 МРОТ, что указано в ст. 13.11 КоАП РФ);
• гражданско-правовая (в статьях 150-152 ГК РФ предусмотрена денежная компенсация за моральный ущерб потерпевшему гражданину);
• уголовная (если утечка информации наносит непоправимый вред правам и интересам гражданина, в соответствии со ст. 137 УК РФ применяется уголовная ответственность).

Заключительные положения.

В заключительном положении указывается время вступления Положения в силу и утверждение руководителем организации.

• Скачать бланк положения о порядке хранения и использования и обработки персональных данных с приложениями
• Скачать образец положения о персональных данных сотрудников для ООО
• Скачать образец положения о персональных данных в медицинском учреждении

Подробнее о сборе личных сведений в медицинском учреждении и согласии пациента на обработку персональных данных читайте тут.

Скачать образец политики обработки персональных данных для МФЦ
Скачать образец положения о разграничении прав доступа к обрабатываемым персональным данным
Скачать образец положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных