Какие документы по персданным должны быть в компании

Если специалисты Роскомнадзора придут проверять, как вы работаете с персональными данными своих сотрудников, будьте готовы показать локалку и другие документы о персданных. Это не только поможет избежать штрафов, но и не даст запутаться при работе с информацией, которая относится к персональной. Разберем каждый документ.

Политика обработки персональных данных. Политика – не локальный акт, она распространяется не только на сотрудников, но и на клиентов, контрагентов компании. Название документа говорит за себя. Этот документ определяет направления работы компании по обработке и защите персональных данных.

Как составить документ о политике при работе с персданными, разъяснил Роскомнадзор в своих рекомендациях. Чтобы документ работал на вас, все-таки не стоит копировать формулировки ведомства, лучше ориентируйтесь на специфику вашей организации.

Положение о персональных данных работников. В компании должен быть документ, который говорит, как хранить и использовать персональные данные сотрудников. Роскомнадзор проверит, утвердил ли работодатель положение о персональных данных.

Документ составляют в произвольной форме, но его содержание должно соответствовать закону. Поэтому, в положении прописывают состав персональных данных, порядок их обработки, передачи третьим лицам, права и обязанности работников при обработке персональных данных. Все сотрудники должны быть ознакомлены с положением под подпись.

Согласие на обработку персональных данных. По общему правилу брать согласие на обработку персданных – надо. Письменное согласие сотрудника на обработку персданных требуется, в частности, если компания обрабатывает биометрические данные. Например, сотрудники проходят на территорию по пропускам с фотографией.

Если согласие нужно, то не забудьте указать все обязательные реквизиты.

Чтобы получить дополнительную информацию о работнике, например, номер его мобильного телефона или адрес личной электронной почты, потребуется его согласие. Ведь и без подобных сведений стороны могут исполнять трудовой договор. Поэтому, чтобы исключить спорные ситуации, безопаснее получать у новых сотрудников письменное согласие на обработку данных и включать в него информацию, которую планируете обрабатывать.

Согласие на передачу персональных данных. Чтобы передать персональные данные, нужно получить отдельное согласие работника. В стандартном согласии об обработке персданных больше нельзя указывать, что сотрудник не возражает, чтобы его данные работодатель передавал третьим лицам. Для этого теперь нужно отдельное согласие. Более того, в нем должна быть графа, где сотрудник сможет отметить, какую информацию он согласен передавать и куда, а какую нет.

Например, сотрудник согласен, чтобы на сайте компании разместили его фотографию, имя и должность, но дату рождения хочет оставить в тайне. В таком случае в согласии на распространение напротив даты рождения он напишет «нет» или «не согласен». Если из согласия непонятно, разрешил ли сотрудник передавать сведения о нем, делать этого нельзя, ч. 4 ст. 10.1 Закона от 27.07.2006 № 152-ФЗ, далее — Закон о персданных.

Сотрудник вправе определить, какие данные о себе он не разрешает никому передавать. Но такой запрет не действует, если обязанность передавать информацию устанавливает закон, ч. 11, 15 ст. 10.1 Закона о персданных.

Независимо от решения сотрудника, вы должны передавать данные в ПФР, налоговую, военкомат и т. д. Еще одна ситуация — если данные о работнике запрашивают врачи или правоохранительные органы.

Если сотрудник обратился к вам с требованием прекратить распространять информацию, которую ранее он в согласии передавать разрешил, немедленно прекращайте. С этого момента его согласие на распространение больше не действует.

В требовании сотрудник напишет Ф. И. О., номер телефона, адрес электронной почты или почтовый адрес и укажет персданные, передавать которые он запрещает. В таком случае вы сможете продолжать их обрабатывать, но не распространять. Сотрудник вправе потребовать, чтобы обрабатывать его персданные прекратили не только вы, но и те, кому вы их уже передали. В таком случае объясните работнику, что направить требование третьим лицам он должен лично. Ваша обязанность — предоставить ему данные тех, кто получил от вас информацию о работнике.

А теперь давайте посмотрим, как выглядит такое согласие.

Теперь вы можете быть уверенными, что согласия на обработку и передачу персональных данных оформите правильно. Но чтобы не занимать свое время можете воспользоваться онлайн-конструктором. С помощью него будет легче и быстрее составить согласия. Просто нажмите на выделенные синим цветов слова, и интерактив откроется.

Приказ о назначении ответственного и доступе работников к персданным. Работодатель обязан назначить ответственного за организацию работы с персданными и утвердить перечень лиц, которых допустили к обработке персональных данных. Это сотрудники, которые работают с личными данными работников, клиентов. В приказе укажите, к каким данным имеет доступ конкретный работник.

Часто ответственным за обработку персональных данных назначают кадровика, бухгалтера, секретаря. Логика компании – сотрудник работает с документами, значит, может отвечать и за персональные данные. Однако возлагать такие функции закон разрешает не на любого сотрудника. Есть критерии, которые нужно соблюдать.

Сотрудник должен быть компетентен, напрямую подчиняться гендиректору и быть готовым организовывать обработку данных в масштабе организации. Поэтому в большинстве случаев назначить кадровика будет ошибкой. Это допустимо только в маленькой компании.

Безопаснее сделать ответственным за персданные директора по информационной безопасности или по персоналу.

Обязательство о неразглашении персданных. Получите у сотрудников, которых допустили к обработке персональных данных, обязательство о неразглашении. Только в этом случае сможете наказать их, если произойдет утечка личных данных. Обязательство составьте в двух экземплярах. Один остается в компании, другой отдайте сотруднику.

Приказ о перечне мест хранения персональных данных. При проверке инспектор Роскомнадзора запросит приказ, которым утвердили места хранения материальных носителей персональных данных. Во всех кабинетах, где обрабатываете персданные на бумаге, определите места хранения – сейфы или запираемые шкафы. Местом хранения может быть и само помещение, например, архив организации.

Вы дошли до конца урока, молодец! Теперь вам не страшны огромные штрафы от Роскомндзора. Теперь, как мы обещали подарок — плакат, который еще раз напомнит, на что обращать особое внимание в своей работе.