Защита от утечки! Персональные данные работника – его прерогатива или нет?

Обращение к персональным данным сотрудника происходит при его трудоустройстве и при выполнении им его обязанностей, установленных трудовым договором.

При сборе, хранении и использовании информации необходима защита от ее утечки и уничтожения.

Каким образом в РФ регулируется защита персональных данных сотрудников, рассмотрим ниже.

Скрыть содержание

• Определение
• Что это за документы?
• Когда нужно разрешение, а когда нет?
• Кто имеет доступ в организации?
• Инструкция по работе с информацией
Обработка     Хранение     В бумажном виде     В электронном виде     Порядок доступа     Внесение изменений     Использование    
• Документы
Заявление     Согласие     Положение     Соглашение     Обязательство    

Определение

Что это – защита персональных данных? Гарантии сотрудника, закрепленные в трудовом праве, относительно сохранения конфиденциальности предоставленной им информации. Также это – система мероприятий в конкретной организации, обеспечивающая защиту сведений о работнике.

Что это за документы?

Информация, полученная при найме работника, включает в себя:

• ФИО.
• Адрес проживания.
• Дату рождения.
• Семейное положение.
• Документы об образовании, прохождении курсов повышения квалификации.
• Паспортные данные.
• Другие сведения, необходимые для трудоустройства.

Примеры сведений, связанных с работой в конкретной организации:

• Документ о назначении на какую-то должность.
• Заработная плата. Расчетные документы.
• Любые внутренние приказы компании, относящиеся к сотруднику.

О том, что входит в понятие “Персональные данные сотрудника” мы более подробно рассказываем в этом материале.

Когда нужно разрешение, а когда нет?

Законодательная база, определяющая использование персональных данных: ФЗ № 152.

При официальном трудоустройстве человек предоставляет необходимую личную информацию, и получатель должен обеспечить ее сохранность. Разглашение персональных данных приводит к дисциплинарной, уголовной и административной ответственности.

Организация не может собирать сведения, которые не относятся к трудовой деятельности сотрудника. Например, о его вероисповедании, политических убеждениях и др. Чтобы распоряжаться информацией о сотруднике, необходимо получить его разрешение. Однако законом определены ситуации, когда согласие получать не требуется.

Когда согласие не нужно:

1. Когда сведения получены при заключении трудового договора.
2. При запросе результатов медицинского осмотра о состоянии здоровья.
3. Если сведения переданы кадровым агентством, которое действовало от имени соискателя на должность.
4. Если информация является общедоступной. Например, она взята из расположенного в интернете резюме соискателя.
5. При выплате алиментов.
6. Если речь идет о сохранении жизни и здоровья человека.
7. При передаче сведений в Пенсионный фонд, налоговые органы, военные комиссариаты, прокуратуру и др.
8. Обработка связана с выполнением обязанностей сотрудником, в том числе при его командировании.
9. Для осуществления пропускного режима, если работодатель организует его самостоятельно.

Когда согласие работника необходимо:

• При передаче информации третьим лицам (кроме тех, которые указаны среди исключений).
• При открытии банковского счета.
• В иных случаях, не попадающих под исключения.

О том, в каких случаях от работника требуется письменное согласие на обработку ПД, мы рассказываем здесь.

Кто имеет доступ в организации?

В организации должен вестись журнал учета доступа к личным делам сотрудников.

Там указывают, кому оно выдавалось, дату выдачи и возврата. Каждый сотрудник, который имеет доступ к персональным данным, должен подписать договор о неразглашении.

Список ответственных за ведение учета персональных данных сотрудников обычно указывают в виде приложения к Положению. Такой перечень ответственных часто включает в себя кадровиков, руководителей отделов, бухгалтерию.

Инструкция по работе с информацией

Закон устанавливает жесткие меры за нарушения, связанные с персональными данными. Поэтому важно знать правила работы с ними.

Обработка

Под обработкой данных понимается их получение, проверка, передача, хранение, накопление, уничтожение и другие действия, совершаемые с ними. Требования к обработке данных зафиксированы в 86 статье ТК РФ. Обработка может осуществляться лишь в строго определенных целях:

• содействие в трудоустройстве;
• обучение;
• контроль выполняемой работы.

1. Для работы с персональными данными составляется соответствующее Положение. Единой формы документа нет. В каждой организации она индивидуальна.
2. При наличии в организации Профсоюза Положение согласовывается с ним.
3. После окончательного утверждения Положения необходимо ознакомить с ним работников под роспись.
4. Назначается сотрудник, ответственный за работу с данными. Это фиксируется в виде приказа. Список лиц, имеющих доступ к конфиденциальной информации, можно включить в этот же приказ или издать отдельный.

Больше информации о том, что такое обработка ПД, найдете в специальной статье.

Хранение

87 статья ТК РФ говорит о том, что работодатель должен установить порядок хранения и использования персональных данных сотрудника.

Подробнее о порядке хранения и использования ПД работников мы рассказываем в отдельном материале.

В бумажном виде

1. Для осуществления хранения персональных сведений о сотрудниках работодателю рекомендуется организовать отдельное помещение с ограниченным доступом и использовать специальное оборудование. Необходимо принять меры от возможного уничтожения информации, организовать защиту от несанкционированного доступа. Документация в бумажном виде хранится в специальном сейфе, чтобы избежать ее утери или порчи.
2. Часть документов хранится в оригинале. Сюда относится: трудовая книжка, трудовой договор, приказы руководителя относительно сотрудника. Часть документов хранится в виде копии: паспорт и др. Личное дело содержится в отдельной папке. Папки могут располагаться по алфавиту или по отделам организации. Бухгалтерские документы могут храниться в отдельных папках без привязки к работнику.
3. Папки размещаются в сейф, к которому имеет доступ руководитель, кадровый работника, бухгалтер. Лица, имеющие доступ к конфиденциальной информации, подписывают соответствующее обязательство о неразглашении.
4. Кадровый работник проводит инструктаж среди сотрудников относительно порядка хранения и доступа к документам.

В электронном виде

1. Для хранения в электронном виде создается база данных.
2. Документы сканируются и вносятся в базу.
3. Приказом определяется те сотрудники, которые имеют к ней доступ: руководитель, кадровый отдел, бухгалтерия, программисты. Они подписывают обязательство о неразглашении.
4. Каждому сотруднику, имеющему доступ, выдается индивидуальный логин и пароль. Впоследствии будет видно, кто и когда заходил базу.
5. Для защиты от уничтожения создается резервная копия базы.

Порядок доступа

Защита персональных данных работника является обязанностью работодателя и осуществляется за его счет.

1. В Положении устанавливается порядок доступа к персональным данным и то, в какой степени человек может их получить.
2. Приказом устанавливаются лица, имеющие доступ к информации. Они подписывают обязательство о неразглашении.

О том, что сотрудникам нужно знать о порядке доступа к их ПД, мы подробнее рассказываем тут.

Внесение изменений

Необходимость внести правок в личные сведения может возникнуть при смене паспорта, при рождении ребенка и в других случаях.

1. В случае изменения личных данных работнику необходимо обратиться в отдел кадров. Правки производятся на основании заявления работника. Подача заявления не является обязательной, но будет уместной. К заявлению прилагаются копии новых документов.
2. Документы заверяются уполномоченными лицами и прилагаются к личному делу.
3. На основании заявления издается приказ о внесении изменений в учетные документы.

Использование

Использование персональных данных сотрудника возможно лишь в пределах его рабочей деятельности. Лицо, имеющее доступ к информации не имеет право использовать ее для личной выгоды. Сведения не могут передаваться сторонним организациям и частным лицам без согласия на то сотрудника (если иное не оговорено законом).

1. В Положении устанавливается список персональных данных и возможные манипуляции с ними.
2. Для того, чтобы использовать личную информацию о работнике, необходимо его согласие.

Документы

Для обеспечения защиты персональных данных работников в организации должны быть соответствующие документы (их бланки и образцы можно скачать ниже).

Больше информации о документах, связанных с ПД работников, найдете в нашем специальном материале.

Заявление

Факт наличия трудовых отношений еще не означает, что обработка сведений о работнике возможна, поэтому необходим этот документ. Однако организация может работать с данными, если это необходимо для исполнения договора.

Такой документ должен включать в себя:

• Дату, название, ФИО адресата.
• Тип данных.
• Название и адрес фирмы-работодателя.
• Цель предоставления информации.
• Методы обработки информации.
• Срок заявления.

О правилах написания заявления на обработку и прочие операции с ПД мы рассказываем тут.

Согласие

Работодатель может получить персональные данные только у самого работника, они являются его прерогативой. Если этого сделать нельзя, то запрашивать информацию у третьих лиц можно только с письменного согласия работника. Ему необходимо сообщить, из каких источников будут браться сведения, и для чего они нужны, а также о последствиях отказа сообщить эту информацию.

Документ должен включать в себя:

1. ФИО, адрес, реквизиты паспорта.
2. Информация о лице, получающем согласие.
3. Цель сбора сведений.
4. Перечень данных, на которые дается согласие.
5. Информация о лице, которое будет работать с информацией.
6. Способы обработки информации.
7. Срок, на который распространяется согласие.
8. Подпись сотрудника.

• Скачать бланк согласия на обработку персональных данных
• Скачать образец согласия на обработку персональных данных

Сотрудник имеет право отозвать свое согласие. Это будет целесообразно, например, при увольнении.

Положение

В нем необходимо указать:

1. Цели и задачи положения.
2. Понятие и состав сведений, о которых идет речь.
3. Место хранения информации.
4. Процедура получения сведений. Указывается когда нужно и не нужно получать согласие.
5. Способы обработки информации.
6. В каких пределах используются сведения. Кто имеет к ним доступ.
7. Защита сведений от несанкционированного доступа и утери.
8. Права работника относительно защиты конфиденциальной информации.
9. Ответственность за разглашение и неправильное хранение информации.

• Скачать бланк положения о персональных данных
• Скачать образец положения о персональных данных

Больше информации о том, что такое Положение о защите ПД, найдете в этой статье.

Соглашение

В соглашении о неразглашении персональных данных указывается:

1. Имя работника.
2. Перечень обязанностей по сохранению конфиденциальности полученных сведений.
3. Ответственность работника в случае невыполнения соглашения.
4. Отмечается факт, что сотрудник ознакомлен с соглашением.

Обязательство

Обязательство о неразглашении персональных данных подписывается сотрудниками, имеющими к ним доступ. В документе сотрудники указывают сведения о себе и дают обязательство:

• Не передавать информацию третьим лицам.
• Не использовать сведения с целью извлечения выгоды.
• Сообщать руководству о фактах несанкционированного проникновения к личным данным.

В бумаге перечисляются виды ответственности работника:

1. Знание и соблюдение требований относительно работы с личными сведениями.
2. Сохранение информации в тайне.
3. Соблюдение законов РФ и внутренних приказов организации о работе с данными.
4. Своевременное оповещение руководства об утере данных.

• Скачать бланк обязательства о неразглашении персональных данных
• Скачать образец обязательства о неразглашении персональных данных

Организации, собирающие личные данные сотрудников, ответственны за их хранение и использование. Защита конфиденциальности полученной информации требует серьезного отношения.