Руководства, Инструкции, Бланки

журнал по персональным данным образец заполнения img-1

журнал по персональным данным образец заполнения

Рейтинг: 4.4/5.0 (1846 проголосовавших)

Категория: Бланки/Образцы

Описание

Журнал учета мероприятий по контролю защиты персональных данных- образец

Журнал учета мероприятий по контролю над соблюдением режима защиты ПДн

Журнал учета мероприятий по контролю над соблюдением режима защиты персональных данных содержит перечень периодически проводимых мероприятий. Создание журнала санкционирует руководитель департамента.

Ведение журнала учета мероприятий по контролю за соблюдением режима защиты персональных данных осуществляется ответственным сотрудником, который выполняет контроль над соблюдением режима защиты персональных данных в организации. Ответственный сотрудник ведет журнал, вносит в него подробную информацию, связанную с изменением режима защиты персональных данных, а так же информацию о результатах внутренних проверок выполнения режима защиты персональных данных. Журнал находится у ответственного сотрудника или руководителя организации все время, пока в организации осуществляется обработка персональных данных. Журнал может вестись в электронном виде.

В журнале отмечаются мероприятия, в соответствии с планом мероприятий по обеспечению защиты персональных данных, носящих периодический характер.

В журнал заносится следующая информация:

  • Название проведенного мероприятия.
  • Дата проведенного мероприятия.
  • Исполнитель мероприятия.
  • Результат (отчет, действия) мероприятия, если есть.

Кроме того, в образце журнала по персональным данным должно быть указано полное наименование оператора, должность уполномоченного лица, его личная подпись и расшифровка подписи. Также указывается номер документа и дата составления документа.

Оператором персональных данных может являться юридическое лицо, физическое лицо, индивидуальный предприниматель, государственный орган, муниципальный орган или общественная организация.

Журнал учета мероприятий по контролю над соблюдением режима защиты ПДн

Техподдержка 8-800-333-14-84 Звонок по РФ бесплатный ICQ: 609-394-313 E-mail: support@freshdoc.ru Skype: freshdoc.support Отдел продаж +7 (495) 212-14-84 sales@freshdoc.ru Заказать звонок

  • Тарифы
  • Интеграция с 1С
  • Партнерам
  • Для СМИ
  • Проекты
  • О компании
  • Видеогид
  • Блог
  • Способы оплаты
  • Лицензии и сертификаты
Конфиденциальность и безопасность
  • Правила использования сервиса
  • Правила использования информации с сайта
  • Политика конфиденциальности

Копирование и дальнейшее распространение любых текстов с сайта freshdoc.ru без разрешения авторов или администрации сайта, а также заимствование фрагментов текстов будет рассматриваться как нарушение авторских прав. Помните об ответственности, предусмотренной ст.146, п.3 УК РФ. Смотрите правила.
© 2016 DocLab

Другие статьи

Пример формы журнала учета съемных носителей ПИСЬМО Рособразования от 22-10-2009 17-187 ОБ ОБЕСПЕЧЕНИИ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ (2016)

ПИСЬМО Рособразования от 22-10-2009 17-187 ОБ ОБЕСПЕЧЕНИИ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ (2016) Актуально в 2016 году

Пример формы журнала учета съемных носителей

ЖУРНАЛ
учета съемных носителей персональных данных
________________________________________________________
наименование структурного подразделения

Начат "__" _____________ 200_ г.

Окончен "__" _____________ 200_ г.

Должность и ФИО ответственного за хранение

Метка съемного носителя (учетный номер)

(Получил, вернул, передал)

Дата записи информации

<*> Причина и основание окончания использования (N и дата отправки адресату или распоряжения о передаче, N и дата акта утраты, неисправность, заполнение подлежащими хранению данными)

Скачать ПИСЬМО Рособразования от 22-10-2009 17-187 ОБ ОБЕСПЕЧЕНИИ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ (2016) Актуально в 2016 году

Сайт использует файлы cookie .Продолжая просмотр сайта, вы соглашаетесь с использованием файлов cookie.

© 2010—2016. Справочно-правовая система «ЗаконПрост».

Подача уведомления об обработке персональных данных - Объединение предпринимателей Уфимского района РБ

Объединение
Предпринимателей
Уфимского района
Подача уведомления об обработке персональных данных

Руководителям юридических лиц (ООО, ЗАО, ОАО и т.д.) и индивидуальным предпринимателям, осуществляющих обработку персональных данных, в том числе в связи с трудовыми отношениями и иными отношениями гражданско-правового характера.

Управление Роскомнадзора по Республике Башкортостан напоминает о необходимости данными организациями и предпринимателями подачи уведомления об обработке персональных данных (далее – уведомление), предусмотренного требованиям Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных.

Заполненное и подписанное уведомление направляется в Управление Роскомнадзора по Республике Башкортостан по адресу: 450005, г. Уфа, ул. 50 лет Октября, д. 20/1. Форма заполнения уведомления, примерные образцы, а также рекомендации по заполнению размещены на официальном сайте: http://02.rsoc.ru/directions/p4172/.

Уведомление об обработке персональных данных направляется один раз за время деятельности организации, не влечёт за собой каких-либо затрат и дополнительных обязательств. Проверить наличие Вашей организации в Реестре можно на Портале персональных данных: www.pd.rsoc.ru. Поиск рекомендуется осуществлять по ИНН.

За непредставление уведомления об обработке персональных данных предусмотрена административная ответственность по ст. 19.7 КоАП РФ (непредставление сведений (информации)), которая влечет штраф от 3 000 до 5 000 рублей. За нарушение законодательства в области персональных данных также предусмотрена уголовная ответственность по ст. 137 УК РФ (нарушение неприкосновенности частной жизни).

Телефон «горячей линии» (347) 279-11-21.

Образцы уведомлений для заполнения

Образец для заполнения юридическими лицами, использующими для обработки персональных данных программные средства (например, 1С, Налогоплательщик ЮЛ, ПФР и т.д.)

Образец заполнения уведомления об обработке (о намерении осуществлять обработку) персональных данных

Образец заполнения уведомления об обработке (о намерении осуществлять обработку) персональных данных

технологий и массовых коммуникаций

по Московской области

об обработке (о намерении осуществлять обработку) персональных данных

Наименование, адрес оператора. Закрытое акционерное общество «Сувенир» (ЗАО «Сувенир» ), 100000, г. Москва, ул. Сувенирная, д.1, тел 8 (495) 111-11-11.

ИНН 5011111111, КПП 501101001, ОГРН 1055011111111.

Правовое основание обработки персональных данных: руководствуясь Уставом ЗАО «Сувенир», ст. 85-90 Трудового кодекса РФ; ст. 6 Федерального закона от 02.05.2006 № 59-ФЗ «О порядке рассмотрения обращений граждан Российской Федерации»; гл.4 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральный закон «Об акционерных обществах» от 26.12.1995 № 208-ФЗ, лицензия № 00022 от 01.0.2000. на оказание услуг

с целью (обработки персональных данных) учета сотрудников ЗАО и иных физических лиц, оказание услуг.

осуществляет обработку следующих категорий персональных данных: ФИО, год, месяц, дата и место рождения, адрес, семейное, социальное и имущественное положение, образование, профессия, доходы, ИНН, контактный телефон, воинский учет, пенсионное и страховое свидетельства, принадлежащих следующим категориям субъектов персональных данных. сотрудникам, состоящим в трудовых отношениях, и физическим лицам, находящимся в договорных и иных гражданско-правовых отношениях с ЗАО.

Обработка вышеуказанных персональных данных: осуществляется смешанно путем сбора,систематизации,накопления,хранения,уточнения,использования,передачи,удаления,уничтожения. Электронная обработка ведется на компьютерах, объединенных в локальную сеть, с передачей по внутренней сети, без передачи по сети Интернет.

Для обеспечения безопасности персональных данных принимаются следующие меры: Организационные и технические меры. Изданы приказы и разработаны и утверждены документы по организации работы по защите персональных данных, приказом от 01.01.2007г.назначен Горбунков Семен Семенович ответственным лицом за организацию обработки персональных данных (тел. 8(495) 111-11-10, 100000, г. Москва, ул. Сувенирная, д. 1, souvеnirа@vail.ru Шифрование информации и не производится. Информационная система не классифицирована.

Сведения о наличии или об отсутствии трансграничной передачи персональных данных. трансграничная передача персональных данных не осуществляется

Сведения об обеспечении безопасности персональных данных: Информация доступна для строго определенных сотрудников, хранится на бумажных носителях в сейфе, а в персональных компьютерах хранится с доступом через пароль. Помещения, в которых находятся (бумажные и электронные) носители информации, относящейся к персональным данным, запираются под ключ и сдаются под охранную сигнализацию.

Дата начала обработки персональных данных: 05.12.1995 г.

Срок или условие прекращения обработки персональных данных: изъятие полномочий по обработке персональных данных, ликвидация муниципального образования

Руководитель А.А. Зайцев (должность) (подпись) «___»__________ 2010 г М.П.

Комментарии к статье "Образец заполнения уведомления об обработке (о намерении осуществлять обработку) персональных данных"

Где взять образец положения о защите персональных, без заполнения анкеты?

Где взять образец положения о защите персональных, без заполнения анкеты?

Есть ли у Вас образец положения о защите персональных, без заполнения анкеты (у нас сотрудники в основном рабочие и они анкеты не заполняют) и у нас не ведутся личные дела? Спасибо.

Ответ

Конкретные меры по обеспечению безопасности персональных данных сотрудников при их обработке предусмотрены в статье 19 Закона от 27 июля 2006 г. № 152-ФЗ и Требованиях, утвержденных постановлением Правительства РФ от 1 ноября 2012 г. № 1119. На их основе организация может выработать свою собственную систему защиты персональных данных.

Следовательно, чтобы не допустить разглашения персональных данных, создайте надежную систему их защиты. Порядок получения, обработки, передачи и хранения таких сведений установите в локальном акте организации, например в Положении о работе с персональными данными сотрудников (образец см. ниже по тексту).

Положение утверждает руководитель организации. С ним под подпись ознакомьте сотрудников организации.

Подробности в материалах Системы:

  1. Ответ: Как организовать обработку персональных данных сотрудников

Защита персональных данных

Чтобы не допустить разглашения персональных данных, создайте надежную систему их защиты. Порядок получения, обработки, передачи и хранения таких сведений установите в локальном акте организации, например в Положении о работе с персональными данными сотрудников (ст. 8. 87 ТК РФ, п. 2 ч. 1 ст. 18.1 Закона от 27 июля 2006 г. № 152-ФЗ ). Положение утверждает руководитель организации. С ним под подпись ознакомьте сотрудников организации (п. 8 ч. 1 ст. 86 ТК РФ ). Конкретные меры по обеспечению безопасности персональных данных сотрудников при их обработке предусмотрены в статье 19 Закона от 27 июля 2006 г. № 152-ФЗ и Требованиях. утвержденных постановлением Правительства РФ от 1 ноября 2012 г. № 1119. На их основе организация может выработать свою собственную систему защиты персональных данных.

Так, при обработке персональных данных в информационной системе необходимо обеспечить защиту и безопасность персональных данных. При этом угрозой безопасности персональных данных является совокупность условий и факторов, создающих опасность несанкционированного (в т. ч. случайного) доступа к персональным данным при их обработке в системе, результатом которого могут стать:

  • уничтожение;
  • изменение;
  • блокирование;
  • копирование;
  • предоставление;
  • распространение;
  • иные неправомерные действия с персональными данными.

Следует отметить, что выбор конкретных средств защиты информации для информационной системы обработки персональных данных осуществляется работодателем в соответствии с нормативно-правовыми актами ФСБ России и ФСТЭК России. Определение типа угроз безопасности персональных данных, актуальных для системы обработки и защиты персональных данных, производится с учетом оценки возможного вреда и в соответствии с нормативными актами упомянутых органов (п. 4. 7 Требований, утвержденных постановлением Правительства РФ от 1 ноября 2012 г. № 1119 ).

При обработке персональных данных в системах могут устанавливаться четыре уровня защищенности в зависимости от категории данных и количества сотрудников, сведения о которых содержит система. В зависимости от уровня защищенности работодателю следует принимать различные меры защиты систем обработки персональных данных, предусмотренные пунктами 13–16 Требований, утвержденных постановлением Правительства РФ от 1 ноября 2012 г. № 1119. Например, установление режима обеспечения безопасности помещений, в которых размещены персональные данные, назначение лиц, ответственных за обеспечение безопасности персональных данных в информационной системе, и т. п. Конкретные требования к указанным мерам по обеспечению безопасности персональных данных при их обработке установлены составом и содержанием организационных и технических мер. утвержденными приказом ФСТЭК России от 18 февраля 2013 г. № 21 .

Для контроля защищенности персональных данных при их обработке работодатель или уполномоченное им лицо не реже одного раза в три года осуществляет контрольные проверки, конкретные сроки которых работодатель определяет самостоятельно. При необходимости к проведению проверки на договорной основе можно привлечь организации или индивидуальных предпринимателей, имеющих лицензию на осуществление деятельности по технической защите конфиденциальной информации (п. 17 Требований, утвержденных постановлением Правительства РФ от 1 ноября 2012 г. № 1119 ).

Ситуация: Является ли Положение о работе с персональными данными сотрудников обязательным документом

Порядок хранения, обработки и использования персональных данных сотрудников устанавливает работодатель с учетом требований Трудового кодекса РФ и иных федеральных законов (ст. 87 ТК РФ ). Это значит, что работодатель должен самостоятельно определить порядок такой обработки и закрепить его в локальном нормативном акте, в частности, Положении о работе с персональными данными сотрудников. Все сотрудники организации при приеме на работу должны быть ознакомлены с Положением под подпись (ч. 3 ст. 68 ТК РФ ).

Исходя из указанного следует, что Положение о работе с персональными данными является обязательным документом организации, а его отсутствие влечет административную ответственность (ст. 5.27 КоАП РФ ). На это указывают и суды (см. например, постановление ФАС Московского округа от 26 октября 2006 г. № КА-А40/10220-06 ).

Ситуация: Как защитить персональные сведения, находящиеся в компьютерной базе данных

Чтобы предотвратить несанкционированный доступ к персональным сведениям, находящимся в компьютерной базе данных, в Положении закрепите процедуру защиты такой информации. Чем выше риск несанкционированного доступа к персональным данным, тем больше мер нужно предпринять для защиты такой информации. Например, организация может ввести систему индивидуальных паролей, которые будут меняться с определенной периодичностью, ограничить доступ сотрудников к компьютерам, на которых хранятся личные данные, хранить диски и дискеты с такой информацией в запирающихся шкафах.

Обработку персональных данных в информационной системе необходимо осуществлять в соответствии с положениями пунктов 8−16 Требований, утвержденных постановлением Правительства РФ от 1 ноября 2012 г. № 1119 .

Организация может обеспечивать защиту персональных данных как самостоятельно, так и с привлечением сторонних организаций, имеющих лицензию на осуществление деятельности по защите конфиденциальной информации. Такие разъяснения даны в пункте 17 Требований, утвержденных постановлением Правительства РФ от 1 ноября 2012 г. № 1119 .

заместитель директора департамента образования и кадровых ресурсов Минздрава России

  1. Формы: Положение о работе с персональными данными работников

ПОЛОЖЕНИЕ
о работе с персональными данными работников

1. Общие положения

1.1. Положение о работе с персональными данными работников «Альфы» разработано в соответствии с Трудовым кодексом РФ, Законом от 27 июля 2006 г. № 152-ФЗ и нормативно-правовыми актами, действующими на территории РФ.

1.2. Настоящее Положение определяет порядок работы (сбора, обработки, использования, хранения и т. д.) с персональными данными работников и гарантии конфиденциальности сведений о работнике, предоставленных работником работодателю.

1.3. Настоящее Положение вступает в силу с 1 февраля 2014 года.

2. Получение и обработка персональных данных работников

2.1. Персональные данные работника работодатель получает непосредственно от работника.

Работодатель вправе получать персональные данные работника от третьих лиц только при наличии письменного согласия работника или в иных случаях, прямо предусмотренных в законодательстве.

2.2. При поступлении на работу работник сообщает следующие сведения о себе:

– дату рождения;

– семейное положение;

– отношение к воинской обязанности;

– местожительство и домашний телефон;

– образование, специальность;

– предыдущее(ие) место(а) работы;

– иные сведения, с которыми работник считает нужным ознакомить работодателя.

2.3. Работодатель не вправе требовать от работника представления информации о политических и религиозных убеждениях и о его частной жизни.

2.4. Работник представляет работодателю достоверные сведения о себе. Работодатель проверяет достоверность сведений, сверяя данные, представленные работником, с имеющимися у работника документами.

2.5. При изменении персональных данных работник письменно уведомляет работодателя о таких изменениях в разумный срок, не превышающий 14 дней.

2.6. По мере необходимости работодатель истребует у работника дополнительные сведения.

Работник представляет требуемые сведения и в случае необходимости предъявляет документы, подтверждающие достоверность этих сведений.

2.7. В отделе кадров в специальных алфавитных папках или вместе с личными карточками Т-2 хранится вся информация, относящаяся к персональным данным работника.

3. Хранение персональных данных работников

3.1. Вся информация, которая относится к персональным данным работника, хранится в отделе кадров в специальных папках .Допускается хранение документов, содержащих персональные данные работников в алфавитной папке или вместе с карточкой Т-2.

3.2. Личные карточки хранятся в бумажном виде в папках, прошитые и пронумерованные по страницам. Личные карточки и приобщенные к ним документы, содержащие персональные данные работников. находятся в отделе кадров в специально отведенном шкафу, обеспечивающем защиту от несанкционированного доступа.

В бухгалтерии в качестве документов, необходимых для осуществления тех или иных выплат в пользу работника, предоставления работнику налоговых вычетов. социальных пособий вместе с документами на соответствующие выплаты хранятся заявления работника и иные документы, содержащие персональные данные работников.

3.3. Персональные данные работников могут также храниться в электронном виде в локальной компьютерной сети. Доступ к электронным базам данных, содержащим персональные данные работников, обеспечивается двухступенчатой системой паролей: на уровне локальной компьютерной сети и на уровне баз данных. Пароли устанавливаются заместителем руководителя организации и сообщаются индивидуально работникам, имеющим доступ к персональным данным работников.

3.4. Изменение паролей заместителем руководителя организации происходит не реже одного раза в два месяца.

3.5. В целях повышения безопасности по обработке, передаче и хранению персональных данных работников в информационных системах проводится их обезличивание. Для обезличивания персональных данных применяется метод введения идентификаторов, то есть замена части сведений персональных данных идентификаторами с созданием таблиц соответствия идентификаторов исходным данным.

3.6. Доступ к персональным данным работника имеют руководитель организации, его заместитель, главный бухгалтер, сотрудники отдела кадров, а также непосредственный руководитель работника.

Специалисты отдела кадров и бухгалтерии имеют доступ к тем данным, которые необходимы для выполнения конкретных функций соответствующих подразделений. Доступ специалистов других отделов к персональным данным осуществляется на основании письменного разрешения руководителя организации или его заместителя.

3.7. Копировать и делать выписки из персональных данных работника разрешается исключительно в служебных целях с письменного разрешения руководителя организации, его заместителя и главного бухгалтера.

4. Использование персональных данных работников

4.1. Персональные данные работника используются для целей, связанных с выполнением работником трудовых функций.

4.2. Работодатель использует персональные данные, в частности, для решения вопросов продвижения работника по службе, очередности предоставления ежегодного отпуска, установления размера зарплаты. На основании персональных данных работника решается вопрос о допуске его к информации, составляющей служебную или коммерческую тайну.

4.3. При принятии решений, затрагивающих интересы работника, работодатель не имеет права основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного поступления. Работодатель также не вправе принимать решения, затрагивающие интересы работника, основываясь на данных, допускающих двоякое толкование. В случае если на основании персональных данных работника невозможно достоверно установить какой-либо факт, работодатель предлагает работнику представить письменные разъяснения.

5. Передача персональных данных работников

5.1. Информация, относящаяся к персональным данным работника, может быть предоставлена государственным органам в порядке, установленном федеральным законом.

5.2. Работодатель не вправе предоставлять персональные данные работника третьей стороне без письменного согласия работника за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в случаях, установленных федеральным законом.

5.3. В случае если лицо, обратившееся с запросом, не уполномочено федеральным законом или настоящим Положением на получение информации, относящейся к персональным данным работника, работодатель обязан отказать лицу в выдаче информации. Лицу, обратившемуся с запросом, выдается уведомление об отказе в выдаче информации, копия уведомления подшивается в папку запросов о предоставлении персональных данных

5.4. Персональные данные работника могут быть переданы представителям работников в порядке, установленном Трудовым кодексом РФ, в том объеме, в каком это необходимо для выполнения указанными представителями их функций.

5.5. Работодатель обеспечивает ведение журнала учета выданных персональных данных работников, в котором регистрируются запросы, фиксируются сведения о лице, направившем запрос, дата передачи персональных данных или дата уведомления об отказе в предоставлении персональных данных, а также отмечается, какая именно информация была передана.

6. Гарантии конфиденциальности персональных данных работников

6.1. Информация, относящаяся к персональным данным работника, является служебной тайной и охраняется законом.

6.2. Работник вправе требовать полную информацию о своих персональных данных, об их обработке, использовании и хранении.

6.3. В случае разглашения персональных данных работника без его согласия он вправе требовать от работодателя разъяснений.

Форум: Уведомление об обработке персональных данных (ПДн) Форум Главбух

По состоянию на 12 мая 2010г. на портале содержится информация о 102 021 операторе в Российской Федерации. В то же время в Роскомнадзоре отмечают, что большая часть операторов пока не выполнили требования закона. Так, на территории Новосибирской области количество операторов, осуществляющих обработку персональных данных, составляет по некоторым оценкам около 7 тыс. Из них только 1600 направили уведомления в Роскомнадзор.

Кто является оператором то. Я думала, что МРИ и ПФР

__________________
Хотя и сладостен азарт по сразу двум идти дорогам, нельзя одной колодой карт играть и с дьяволом и с богом!

В отношении операторов персональных данных Управлением были составлены протоколы по признакам административного правонарушения по ст. 19.7 КоАП РФ, а именно за непредставление или несвоевременное представление в государственный орган сведений, представление которых предусмотрено законом.

По результатам рассмотрения протоколов суды вынесли постановления о признании виновными директора ООО «Альмедиа», генерального директора ЗАО «Научно-производственная фирма «Интеграл+», директора ООО «Спутник», генерального директора ООО «Стоматологическая поликлиника «Азино», главного редактора муниципального учреждения «Редакция газеты «Яшлэр заманы», ООО «Аргут», ОАО «Рыбно-Слободское автотранспортное предприятие», ООО «Главный Компонент», ООО «Гелиос-авто», ОАО «Мамадышевское автотранспортное предприятие», ООО «Производственно-коммерческое предприятие «БИСТ». ООО «Алнет», ОАО «Комтат», ООО «Юнител».

Как сообщает сайт Роскомнадзора, нарушителям назначены административные наказания в виде штрафов в размере от 300 до 500 рублей на должностных лиц и 3 тыс. рублей на юридических лиц.

__________________
Хотя и сладостен азарт по сразу двум идти дорогам, нельзя одной колодой карт играть и с дьяволом и с богом!

Re: Уведомление об обработке персональных данных (ПДн)

Вот нашел в журнале БУХ.1С 09.2010:

В соответствии с определением, приведенным в статье 3 Федерального закона "О персональных данных", оператором персональных данных является любое юридическое или физическое лицо, осуществляющие обработку персональных данных. Учитывая, что практически у любого субъекта предпринимательской деятельности хранятся и обрабатываются данные, относящиеся к физическим лицам (в том числе данные работников, учредителей, клиентов, подрядчиков и т. п.), то каждый такой субъект, будь то организация или индивидуальный предприниматель, является оператором персональных данных и обязан выполнять требования законодательства.

Прежде всего, хочется напомнить, что Федеральный закон "О персональных данных" уже действует с 2006 года. И ошибочно думать, что привлекать к ответственности будут только после 1 января 2011 года. когда информационные системы персональных данных должны быть приведены в соответствие с требованиями законодательства о защите персональных данных (далее - ПДн). Как показывает краткий анализ отчета о деятельности Роскомнадзора, контрольные функции уже осуществляются, и с каждым годом операторов, в отношении которых будут проводиться проверочные мероприятия, будет все больше.
.
В соответствии с частью 1 статьи 22 Федерального закона "О персональных данных" оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных. Разумеется, обязательность информирования Роскомнадзора об обработке ПДн распространяется не на всех операторов ПДн. Перечень исключений предусмотрен частью 2 указанной выше статьи.

Однако перечень исключений крайне ограничен. Например, не надо подавать уведомления организациям, которые обрабатывают данные только своих работников, вместе с тем исключение не касается операторов персональных данных, в информационных базах которых содержится информация о бывших работниках (форма Т-2 со сроком хранения 75 лет), о кандидатах на вакантные должности или о родственниках работника. Анализ статьи 22 Федерального закона "О персональных данных" показывает, что подавляющее большинство субъектов предпринимательской деятельности обязаны подать уведомление в Роскомнадзор и должны быть зарегистрированы в реестре операторов ПДн .

В отчете (Роскомнадзора) особо отмечается, что "существует группа операторов, среди которых бытует ошибочное мнение о том, что факт непредставления уведомления об обработке ПДн исключает возможность проверки Уполномоченным органом", в связи с чем уполномоченным органом принято решение о внедрении практических механизмов повышения эффективности деятельности по формированию Реестра, в том числе в части реализации мер по привлечению к административной ответственности Операторов, осуществляющих обработку ПДн без уведомления уполномоченного органа.

Также стоит обратить внимание, что 54 протокола об административных правонарушениях, направленных в суд, были составлены по фактам непредставления или несвоевременного представления в уполномоченный орган уведомления об обработке ПДн, непредставления сведений об изменении информации, содержащейся в уведомлении, а также непредставления либо несвоевременного представления информации на запрос уполномоченного органа.

Применение Федерального закона - О персональных данных - от 27 июля 2006ггода №152-ФЗ

Шаблон Joomla! accessible

1. Понятие персональных данных

2. Документы, содержащие персональные данные

3. Право работников на защиту своих персональных данных

1. Понятие персональных данных

Персональные данные объективно присущи любому человеку, они подчеркивают правовой статус человека и гражданина. Персональные данные содержат необходимый объем информации о человеке, который участвует в соответствующих правоотношениях. Персональные данные принадлежат непосредственно человеку, и он в их несанкционированном распространении, как правило, не заинтересован, в этой связи неслучайно, что персональные данные охраняются различными правовыми средствами. Исходя из этого вполне логично, что доступ к персональным данным имеет весьма ограниченный круг лиц, работодатель, сотрудники кадровых служб и др. В этой связи значение персональных данных трудно переоценить. В настоящее время правовое регулирование персональных данных привлекает внимание ученых и специалистов-практиков.

В соответствии со ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон о персональных данных) персональными данными является любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы и т.д. Согласно ст. 85 ТК РФ под персональными данными работника понимается информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного работника. В Трудовом кодексе РФ не уточняется, какая именно информация о работнике требуется работодателю. Исходя из этого можно сделать вывод, что работодатель имеет право затребовать от работника только ту информацию, которая характеризует последнего именно как сторону трудового договора, а не как личность. Следовательно, работодатель не может требовать от работника предоставления персональных сведений, которые не связаны с осуществлением его трудовой деятельности в конкретной организации.

Однако, исходя из определения персональных данных, которое приведено в Законе о персональных данных, можно сделать вывод, что персональные данные - это любая информация, которая позволяет идентифицировать конкретного человека.

Таким образом, для определения состава персональных данных, необходимых работодателю в рамках трудовых отношений, рекомендуется руководствоваться формулировкой, приведенной в Трудовом кодексе РФ.

Персональные данные могут содержать следующую информацию:

- фамилия, имя, отчество;

- физиологические особенности человека;

-образование, квалификация, профессиональная подготовка и сведения о повышении квалификации;

- состояние здоровья и сексуальная ориентация;

- принадлежность лица к конкретной нации, этнической группе, расе;

- привычки и увлечения, в том числе вредные (алкоголь, наркотики и др.);

- семейное положение, наличие детей, родственные связи;

- факты биографии и предыдущая трудовая деятельность (место работы, размер заработка, судимость, служба в армии, работа на выборных должностях, на государственной службе и др.);

- религиозные и политические убеждения (принадлежность к религиозной конфессии, членство в политической партии, участие в общественных объединениях, в т.ч. в профсоюзе, и др.);

- финансовое положение (доходы, долги, владение недвижимым имуществом, денежные вклады и др.);

- деловые и иные личные качества, которые носят оценочный характер;

- прочие сведения, которые могут идентифицировать человека.

Из указанного списка работодатель вправе получать и использовать только те сведения, которые характеризуют гражданина как сторону трудового договора. Подробнее об этом см. п. 2 настоящего материала.

Вопрос: Относится ли фотография работника к персональным данным?

В действующем законодательстве прямо не установлено, что фотография относится к персональным данным. Однако работодатель не может использовать фотографию работника без его согласия.

Исходя из определения персональных данных, которое дано в Законе о персональных данных, нельзя однозначно сказать, является ли фотография сама по себе персональными данными. В этом Законе фотография прямо не указана как объект, на основании которого можно идентифицировать человека (п. 1 ст. 3 Закона о персональных данных). Как следует из смысла Закона, под персональными данными понимается информация, содержащая сведения о фамилии, имени, отчестве, годе, месяце, дате и месте рождения, адресе, семейном, социальном, имущественном положении, образовании, профессии, доходах и т.д. Следовательно, если фотография не предполагает отображения таких сведений, то отнести ее к персональным данным, вероятнее всего, нельзя.

Тем не менее согласно ст. 152.1 ГК РФ обнародование и дальнейшее использование изображения гражданина допускаются только с его согласия. Соответственно, использование фотографии человека (в т.ч. работника) без его согласия не допускается.

2. Документы, содержащие персональные данные

В процессе трудовой деятельности работника работодатель копит и хранит документы, содержащие персональные данные работника. Исходя из определения персональных данных, которое дано в Законе о персональных данных, такие сведения могут содержаться в следующих документах:

- анкета, автобиография, личный листок по учету кадров, которые заполняются работником при приеме на работу. В этих документах содержатся анкетные и биографические данные работника;

- копия документа, удостоверяющего личность работника. Здесь указываются фамилия, имя, отчество, дата рождения, адрес регистрации, семейное положение, состав семьи работника, а также реквизиты этого документа;

- личная карточка N Т-2. В ней указываются фамилия, имя, отчество работника, место рождения, состав семьи, образование, а также данные документа, удостоверяющего личность, и пр.;

- трудовая книжка или ее копия со сведениями о трудовом стаже, предыдущих местах работы;

- копии свидетельств о заключении брака, рождении детей. Такие документы содержат сведения о составе семьи, которые могут понадобиться работодателю для предоставления работнику определенных льгот, предусмотренных трудовым и налоговым законодательством;

- документы воинского учета с информацией об отношении работника к воинской обязанности и необходимы работодателю для осуществления в организации воинского учета работников;

- справка о доходах с предыдущего места работы. Нужна работодателю для предоставления работнику определенных льгот и компенсаций в соответствии с налоговым законодательством;

- документы об образовании с квалификацией работника;

- документы обязательного пенсионного страхования работника;

- трудовой договор со сведениями о должности работника, заработной плате, месте работы, рабочем месте, а также иные персональные данные работника;

- подлинники и копии приказов по личному составу. В них содержится информация о приеме, переводе, увольнении и иных событиях, относящихся к трудовой деятельности работника;

- при необходимости - иные документы, содержащие персональные данные работников.

Кроме того, работодатель в процессе своей деятельности собирает информацию о соискателях, необходимую для принятия решения о вступлении с ними в трудовые отношения. Если эта информация содержит персональные данные соискателей, к ней в полной мере относятся установленные законом требования о сборе, обработке, хранении, защите персональных данных.

3. Право работников на защиту своих персональных данных

В соответствии с ч. 1 ст. 89 ТК РФ работники имеют право на полную информацию об их персональных данных и обработке этих данных. Соответственно, работодатель обязан ознакомить их с такой информацией.

Согласно п. 8 ст. 86 ТК РФ работники и их представители должны быть ознакомлены под роспись с документами, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области. Следовательно, конкретный порядок доступа работника к своим персональным данным необходимо устанавливать в локальных нормативных актах, определяющих порядок обработки и защиты персональных данных работника. При этом нужно учитывать, что данный порядок должен гарантировать свободу доступа работника к своим персональным данным. Подробнее об этом см. раздел "Хранение и использование персональных данных" настоящего материала.

Работники, согласно ст. 89 ТК РФ, имеют право на свободный бесплатный доступ к своим персональным данным, в т.ч. на получение копии любой записи, содержащей такие данные.

Учитывая требования ст. 62 ТК РФ, по письменному заявлению работника работодатель обязан не позднее трех рабочих дней со дня получения от работника заявления выдать ему копии документов, связанных с работой (приказа о приеме на работу, приказов о переводах на другую работу, приказа об увольнении с работы, выписки из трудовой книжки, справок о заработной плате, о начисленных и фактически уплаченных пенсионных взносах, о периоде работы у данного работодателя и др.). Данные копии заверяются надлежащим образом и предоставляются работнику безвозмездно.

Работник также может определить представителя для защиты своих персональных данных. Традиционно представителями работников являются профсоюзы, однако для указанных целей работник может определить иное лицо (физическое либо юридическое), а также защищать права самостоятельно.

Также работникам предоставляется право доступа к персональным данным, относящимся к медицинским данным, с помощью медицинского специалиста по их выбору.

Работники имеют право требовать исключения или исправления неверных или неполных персональных данных, а также данных, обработанных с нарушениями требований Трудового кодекса РФ или иного федерального закона. В случае отказа работодателя исключить или исправить персональные данные работника последний имеет право заявить в письменной форме работодателю о своем несогласии с соответствующим обоснованием. Персональные данные оценочного характера работник имеет право дополнить заявлением, выражающим его собственную точку зрения (ст. 89 ТК РФ).

В соответствии со ст. 89 ТК РФ по требованию работника работодатель обязан известить всех лиц, которым ранее были сообщены неверные или неполные персональные данные этого работника, обо всех произведенных в них исключениях, исправлениях или дополнениях. Работники имеют право обжаловать в суд любые неправомерные действия или бездействие работодателя при обработке и защите его персональных данных.

Важно! В соответствии с п. 4 ст. 86 ТК РФ работодатель не имеет права получать и обрабатывать данные работника о его политических, религиозных и иных убеждениях и частной жизни без его письменного согласия, если это не связано с трудовыми отношениями. Неприкосновенность частной жизни гарантирована ст. 23 Конституции РФ, и согласно ст. 24 Конституции сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются. ПОЛУЧЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

1. Получение персональных данных от работника

2. Получение персональных данных работника от третьих лиц. Согласие работника на предоставление таких данных третьим лицам

1. Получение персональных данных от работника

В соответствии с п. 3 ст. 86 ТК РФ все персональные данные работника следует получать у него лично. Если такие данные возможно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Работодатель должен сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению данных и последствиях отказа работника дать письменное согласие на их получение.

Данная норма исключает сбор сведений о работнике без его ведома. В соответствии с п. 1 ст. 9 Закона о персональных данных субъект персональных данных принимает решение о предоставлении своих данных и дает согласие на их обработку своей волей и в своем интересе. Указанный Закон также возлагает на работодателя обязанность представить доказательство получения согласия на обработку персональных данных, а в случае обработки общедоступных данных - обязанность доказать, что эти данные являлись общедоступными (п. 1 ст. 9 Закона о персональных данных). Однако следует учитывать, что в силу п. 2 ч. 2 ст. 6 Закона о персональных данных согласия субъекта персональных данных не требуется, когда обработка таких данных осуществляется в целях исполнения договора, одной из сторон которого является субъект персональных данных. Поскольку работник является стороной трудового договора, то письменное согласие на получение его персональных данных не нужно.

2. Получение персональных данных работника от третьих лиц. Согласие работника на предоставление таких данных третьими лицами

Согласно п. 3 ст. 86 ТК РФ если персональные данные работника возможно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Работодатель должен сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере таких данных и последствиях отказа работника дать письменное согласие на их получение. При отказе работника от ознакомления с уведомлением о предполагаемом получении его персональных данных у иного лица составляется акт, который должен быть подписан лицами, предъявившими работнику соответствующее уведомление.

В уведомлении необходимо указать цели получения персональных данных работника у иного лица, предполагаемые источники информации (лица, у которых будут запрашиваться данные), способы получения данных, их характер, а также те последствия, которые наступят, если работник откажет работодателю в получении персональных данных у иного лица.

Целями получения персональных данных работника у третьего лица в соответствии с п. 1 ст. 86 ТК РФ являются исключительно соблюдение законов и иных нормативных правовых актов, содействие работникам в трудоустройстве, обучении и продвижении по службе, обеспечение их личной безопасности, контроля количества и качества выполняемой работы и сохранности имущества. Следовательно, запрашивать иную информацию, не имеющую отношения к вышеназванным целям, от третьих лиц работодатель не вправе даже с согласия работника.

См. образец заполнения уведомления.

См. образец заполнения согласия.

Вопрос: Может ли работодатель передавать персональные данные своих бывших работников новым работодателям по их запросам?

Такие действия можно совершать только при наличии письменного согласия работника.

Из содержания п. 3 ст. 86 ТК РФ следует, что запрашивать информацию у третьей стороны, в том числе и у предыдущего работодателя, нынешний работодатель может только с согласия работника и только если данную информацию нельзя получить у самого работника. Иными словами, потенциальный работодатель вправе запросить информацию при наличии согласия работника, а прежний работодатель вправе ее передать с тем же условием.

ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ

1. Требования к обработке персональных данных

2. Условия обработки персональных данных

3. Обработка персональных данных без использования средств автоматизации

4. Обработка персональных данных с использованием средств автоматизации

1. Требования к обработке персональных данных

В соответствии со ст. 3 Закона о персональных данных обработка персональных данных - это действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в т.ч. передачу), обезличивание, блокирование, уничтожение персональных данных.

Согласно ст. 5 Закона о персональных данных персональные данные должны обрабатываться на основе принципов:

1) законности целей и способов обработки и добросовестности;

2) соответствия целей обработки целям, заранее определенным и заявленным при сборе персональных данных, а также полномочиям оператора;

3) соответствия объема и характера обрабатываемых данных, способов обработки целям их обработки;

4) достоверности персональных данных, их достаточности для целей обработки, недопустимости обработки персональных данных, лишних по отношению к целям, заявленным при сборе данных;

5) недопустимости объединения созданных для несовместимых между собой целей баз данных информационных систем персональных данных.

Следует также учитывать положения ст. 86 ТК РФ, в соответствии с которой обработка персональных данных работника может осуществляться исключительно в целях соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, обучении и продвижении по службе, обеспечения их личной безопасности, контроля количества и качества выполняемой работы и сохранности имущества.

2. Условия обработки персональных данных

В соответствии со ст. 6 Закона о персональных данных персональные данные должны обрабатываться с согласия субъектов персональных данных. Однако в силу п. 2 ч. 2 указанной статьи такого согласия не требуется, если обработка этих данных осуществляется в целях исполнения договора, одной из сторон которого является субъект персональных данных. Исходя из упомянутой нормы обработка персональных данных работников, отношения с которыми оформлены трудовыми договорами, может происходить без согласия работников и требовать от них согласия на такую обработку необязательно.

Поскольку соискатели работы не состоят с потенциальным работодателем в договорных отношениях, персональные данные этих лиц должны обрабатываться с их согласия.

В соответствии со п. 4 ст. 9 Закона о персональных данных письменное согласие субъекта персональных данных на обработку своих данных должно содержать:

1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;

2) фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных;

3) цель обработки;

4) перечень данных, на обработку которых дается согласие субъекта персональных данных;

5) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки;

6) срок, в течение которого действует согласие, а также порядок его отзыва.

Для обработки персональных данных соискателя, содержащихся в письменном согласии лица на такую обработку, дополнительного согласия не требуется.

При недееспособности субъекта персональных данных письменное согласие на обработку его данных дает его законный представитель. В случае смерти субъекта персональных данных такое согласие оформляют его наследники, если оно не было получено от самого субъекта при жизни.

См. образец заполнения согласия.

См. образец заполнения отзыва согласия.

3. Обработка персональных данных без использования средств автоматизации

Согласно п. 3 ст. 4 Закона о персональных данных порядок обработки персональных данных, осуществляемой без использования средств автоматизации, может устанавливаться федеральными законами и иными нормативными правовыми актами РФ.

В настоящее время действует Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденное Постановлением Правительства РФ от 15.09.2008 N 687 (далее - Положение). Согласно данному Положению обработкой персональных данных без применения средств автоматизации считаются использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, которые осуществляются при непосредственном участии человека (п. 1 Положения, утв. Постановлением Правительства РФ от 15.09.2008 N 687). Соответственно, если персональные данные работников обрабатываются в компьютерной (информационной) системе, это не означает, что данная обработка производится с помощью средств автоматизации (п. 2 Положения). Таким образом, к обработке персональных данных работников в организации должны применяться правила, предусмотренные для обработки данных без использования средств автоматизации.

Персональные данные при такой обработке должны быть обособлены от иной информации, в частности путем фиксации их на отдельных материальных носителях.

Согласно п. 6 Положения лица, осуществляющие обработку персональных данных без использования средств автоматизации (в т.ч. сотрудники организации-оператора или лица, осуществляющие такую обработку по договору с оператором), должны быть проинформированы о факте такой обработки, категориях обрабатываемых данных, а также об особенностях и правилах такой обработки, установленных нормативными правовыми актами федеральных органов исполнительной власти, органов исполнительной власти субъектов РФ, а также локальными правовыми актами организации (при их наличии).

Пункт 7 Положения содержит условия, которые необходимо соблюдать при использовании типовых форм документов, предполагающих или допускающих включение в них персональных данных, например унифицированных форм первичной учетной документации по учету труда и его оплаты, утвержденных Постановлением Госкомстата РФ от 05.01.2004 N 1.

Согласно пп. "а" п. 7 Положения типовая форма или связанные с ней документы (инструкция по ее заполнению, карточки, реестры и журналы) должны содержать: сведения о цели обработки персональных данных, осуществляемой без использования средств автоматизации; фамилию, имя, отчество и адрес оператора; фамилию, имя, отчество и адрес субъекта персональных данных; источник получения данных; сроки их обработки; перечень действий с персональными данными, которые будут совершаться в процессе их обработки; общее описание используемых оператором способов обработки персональных данных.

Типовая форма должна содержать поле, в котором субъект персональных данных может проставить отметку о согласии на обработку персональных данных, осуществляемую без использования средств автоматизации, - при необходимости получения такого согласия (пп. "б" п. 7 Положения).

При этом форма должна быть составлена таким образом, чтобы каждый из субъектов персональных данных, содержащихся в документе, имел возможность ознакомиться со своими данными, не нарушая прав и законных интересов иных субъектов персональных данных (пп. "в" п. 7 Положения). Типовая форма должна исключать объединение полей, предназначенных для внесения персональных данных, цели обработки которых заведомо не совместимы (пп. "г" п. 7 Положения).

4. Обработка персональных данных с использованием средств автоматизации

Исходя из содержания п. 1 Положения под автоматизированной обработкой персональных данных понимаются действия, которые выполняются без участия человека, т.е. полностью автоматически. Согласно п. 2 Положения обработка персональных данных не может быть признана осуществляемой с использованием средств автоматизации только на том основании, что эти данные содержались в информационной системе персональных данных либо были извлечены из нее.

Персональные данные работников обрабатывает уполномоченный на это представитель работодателя. Следовательно, он должен руководствоваться правилами, предусмотренными для обработки персональных данных без использования средств автоматизации. Подробнее об этом см. п. 3 настоящего материала.

ХРАНЕНИЕ И ИСПОЛЬЗОВАНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

1. Организация учета и хранения персональных данных

1.1. Оформление журналов учета персональных данных

1.2. Требования к помещению, где хранятся персональные данные

1.3. Защита персональных данных

1.3.1. Организация программной защиты персональных данных, содержащихся в информационной системе работодателя

2. Организация доступа работников к персональным данным других работников

3. Оформление обязательства о неразглашении персональных данных работниками, имеющими доступ к этим данным

4. Положение о персональных данных

4.1. Оформление Положения о персональных данных

4.2. Введение в действие Положения о персональных данных

4.3. Ознакомление с Положением о персональных данных

4.4. Изменение и дополнение персональных данных

4.5. Срок хранения персональных данных

1. Организация учета и хранения персональных данных

Согласно п. 7 ст. 86 ТК РФ защиту персональных данных работника от неправомерного их использования или утраты работодатель должен обеспечивать за счет своих средств. В соответствии со ст. 87 ТК РФ порядок хранения и использования персональных данных работников устанавливается работодателем. Из данных норм следует, что работодатель должен издать соответствующий локальный нормативный акт, регулирующий вопросы хранения и использования персональных данных, а также обеспечивающий защиту последних от неправомерного их использования или утраты. С соответствующим актом, а также со своими правами в сфере защиты персональных данных работники должны быть ознакомлены под роспись.

Пунктом 10 ст. 86 ТК РФ предусмотрено, что работодатели и их представители должны совместно вырабатывать меры защиты персональных данных работников. Подробнее об этом см. п. 4 настоящего материала.

1.1. Оформление журналов учета персональных данных

Поскольку на работодателя возложена обязанность соблюдать режим конфиденциальности персональных данных, то целесообразно вести журналы учета персональных данных, их выдачи и передачи другим лицам и представителям различных организаций, государственным органам.

В журнале учета внутреннего доступа к персональным данным (доступа работников организации к персональным данным других работников) следует указывать такие сведения, как дата выдачи и возврата документов (личных дел), срок пользования, цели выдачи, наименование выдаваемых документов (личных дел). Лицо, которое возвращает документ (дело), должно обязательно присутствовать при проверке наличия всех имеющихся документов по описи, если выданные документы составлены более чем на одном листе.

Лицо, которое получает личное дело другого работника во временное пользование, не имеет права делать в нем какие-либо пометки, исправления, вносить новые записи, извлекать документы из личного дела или помещать в него новые.

Помимо этого, также следует вести журнал учета выдачи персональных данных работников организациям и государственным органам, в котором необходимо регистрировать поступающие запросы, а также фиксировать сведения о лице, направившем запрос, дату передачи персональных данных или уведомления об отказе в их предоставлении и отмечать, какая именно информация была передана.

Система учета персональных данных также может предусматривать проведение регулярных проверок наличия документов и других носителей информации, содержащих персональные данные работников, а также устанавливать порядок работы с ними. В этой связи необходимо ведение журнала проверок наличия документов, содержащих персональные данные работника.

1.2. Требования к помещению, где хранятся персональные данные

Исходя из требований п. 7 ст. 86 и ст. 87 ТК РФ на работодателя возложена обязанность по защите персональных данных работников. Защита персональных данных включает в себя установление особого режима доступа в те помещения, где хранятся такие данные, направленного на защиту последних от несанкционированных доступа, изменений или распространения.

Действующим законодательством не предусмотрено конкретных требований к оборудованию помещения, где должны храниться персональные данные. Однако исходя из требований Трудового кодекса РФ во избежание несанкционированного доступа к персональным данным работников следует оборудовать помещение, где хранятся такие данные, запирающимися шкафами для хранения информации на бумажных носителях. Работодатель должен установить в локальном нормативном акте требования к помещению, где хранятся персональные данные работников, и условия их хранения. Следует также учитывать, что персональные данные работника хранятся в документированной форме, характер которой определяется работодателем.

Перечень документов по учету труда и его оплаты установлен Постановлением Госкомстата РФ от 05.01.2004 N 1 "Об утверждении унифицированных форм первичной учетной документации по учету труда и его оплаты". Работодатель должен обеспечивать сохранность такой документации в соответствии со сроками ее хранения (см. Перечень типовых управленческих документов, образующихся в деятельности организаций, с указанием сроков хранения (утв. Росархивом 06.10.2000)).

1.3. Защита персональных данных

Защита персональных данных представляет собой регламентированный технологический процесс, предупреждающий нарушение установленного порядка доступности, целостности, достоверности и конфиденциальности персональных данных и обеспечивающий безопасность информации в процессе управленческой и производственной деятельности компании.

Для обеспечения внешней защиты персональных данных работников работодатель должен принять следующие меры:

- установить пропускной режим и особый порядок приема, учета и контроля деятельности посетителей;

- установить особый порядок выдачи пропусков и удостоверений работников;

- использовать технические средства охраны;

- использовать программно-технический комплекс защиты информации на электронных носителях и пр.

Для обеспечения внутренней защиты персональных данных работников работодатель должен предпринять следующее:

- ограничить и регламентировать состав работников, функциональные обязанности которых требуют доступа к персональным данным других работников;

- избирательно и обоснованно распределить документы и информацию, содержащую персональные данные, между лицами, уполномоченными на работу с такими данными;

- рационально размещать рабочие места для исключения бесконтрольного использования защищаемой информации;

- регулярно проверять знание работниками, имеющими отношение к работе с персональными данными, требований нормативно-методических документов по защите таких данных;

- создавать необходимые условия для работы с документами и базами данных, содержащими персональные данные работников;

- определять состав работников, имеющих право доступа (входа) в помещения, в которых хранятся персональные данные;

- организовать порядок уничтожения информации;

- своевременно выявлять и устранять нарушения установленных требований по защите персональных данных работников;

- проводить профилактическую работу с должностными лицами, имеющими доступ к персональным данным работников, по предупреждению разглашения таких сведений.

1.3.1. Организация программной защиты персональных данных, содержащихся в информационной системе работодателя

Большинство организаций используют электронные системы хранения и обработки персональных данных. Однако при этом следует учитывать требования действующего законодательства по обеспечению безопасности персональных данных при их электронной обработке и хранении. Постановлением Правительства РФ от 17.11.2007 N 781 утверждено Положение об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных (далее - Положение).

Указанное Положение устанавливает требования к обеспечению безопасности персональных данных при их обработке в информационных системах, представляющих собой совокупность персональных данных, содержащихся в базах данных, а также информационных технологий и технических средств, позволяющих обрабатывать такие данные с использованием средств автоматизации. В соответствии с данным Положением работодателю необходимо соблюсти ряд требований при использовании такой системы обработки персональных данных.

Согласно ч. 2 п. 2 Положения безопасность персональных данных при их обработке в информационных системах обеспечивается с помощью системы защиты персональных данных, включающей организационные меры и средства защиты информации (в т.ч. шифровальные (криптографические) средства, средства предотвращения несанкционированного доступа, утечки информации по техническим каналам, программно-технических воздействий на технические средства обработки персональных данных), а также используемые в информационной системе информационные технологии.

Соответственно, такие информационные системы должны предусматривать возможность ограничения доступа к информации (установление паролей и т.д.). В соответствии с п. 14 Положения лица, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения служебных (трудовых) обязанностей, допускаются к соответствующей информации на основании списка, утвержденного оператором или уполномоченным лицом. Исходя из содержания данного пункта работодателю необходимо издать приказ о допуске конкретных лиц к информационной системе, в которой происходит обработка персональных данных работников.

См. образец заполнения приказа.

2. Организация доступа работников к персональным данным других работников

В соответствии со ст. 88 ТК РФ работодатель обязан не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью последнего, а также в других случаях, предусмотренных Трудовым кодексом РФ или иными федеральными законами.

Однако возникают случаи, когда отдельным работникам нужно получить информацию о персональных данных других работников, которые они намереваются использовать при выполнении трудовых обязанностей. Например, бухгалтеру могут понадобиться данные о работнике для начисления ему заработной платы или уплаты соответствующих взносов, при направлении работников в командировку секретарю (или иному лицу) понадобятся паспортные данные последних для покупки билетов, юрисконсульту организации данные работников могут понадобиться для оформления доверенностей и т.д. В соответствии со ст. 88 ТК РФ работодатель может разрешить доступ к персональным данным работников только специально уполномоченным лицам, при этом указанным лицам будут доступны только те данные, которые необходимы для выполнения конкретных функций. Например, доступ к персональным данным работников обычно устанавливается для руководителя организации, руководителей структурных подразделений по направлению деятельности (доступ к персональным данным только работников своего подразделения), руководителю нового подразделения - при переводе сотрудника из одного структурного подразделения в другое, работникам бухгалтерии и отдела кадров. Конкретный перечень работников, которые имеют доступ к персональным данным других работников, должен быть установлен локальным нормативным актом организации и приказом организации. Подробнее об этом см. п. 4 настоящего материала.

См. образец заполнения приказа.

3. Оформление обязательства о неразглашении персональных данных работниками, имеющими доступ к этим данным

В соответствии с п. 7 ст. 86 ТК РФ на работодателя возложена обязанность по защите персональных данных работника от неправомерного их использования или утраты. Следовательно, работники, которые имеют доступ к персональным данным других работников, обязаны не разглашать эти данные, которые стали им известны в связи с выполнением ими трудовых обязанностей. При этом привлечь к ответственности работников, которые разгласили такую информацию, можно, только если она стала известна им в связи с исполнением трудовых обязанностей и они обязались не разглашать такие сведения (п. 43 Постановления Пленума Верховного Суда РФ от 17.03.2004 N 2). Следовательно, работодатель должен оформить с работниками, которые в силу своих должностных обязанностей имеют доступ к персональным данным других работников, обязательство об их неразглашении.

См. образец заполнения обязательства.

4. Положение о персональных данных

В соответствии со ст. 87 ТК РФ порядок хранения и использования персональных данных работников устанавливается работодателем с учетом требований Трудового кодекса РФ и иных федеральных законов. Данная норма обязывает работодателя принять локальный акт, который будет регулировать порядок хранения и использования персональных данных. Таким актом обычно является Положение о персональных данных работников. Согласно п. 8 ст. 86 ТК РФ работники и их представители должны быть ознакомлены под роспись с документами, устанавливающими порядок обработки персональных данных, а также их права и обязанности в этой области.

Вопрос: Является ли Положение о персональных данных обязательным документом?

Положение о персональных данных относится к тем локальным актам, которые обязательно должны быть в организации.

В соответствии со ст. 87 ТК РФ порядок хранения и использования персональных данных работников устанавливается работодателем с учетом требований Трудового кодекса РФ и иных федеральных законов. Данная норма подразумевает регулирование порядка обработки персональных данных на локальном уровне. Следовательно, работодатель должен локальным нормативным актом (Положением о персональных данных) определить порядок хранения, обработки и использования персональных данных. Поэтому данный документ является обязательным и его отсутствие может быть квалифицировано государственной инспекцией труда как нарушение трудового законодательства. Такой вывод также подтверждается судебной практикой (см. Постановл. ФАС Московского округа от 26.10.2006 N КА-А40/10220-06 по делу N А40-20745/06-148-194).

4.1. Оформление Положения о персональных данных

В соответствии со ст. 68 ТК РФ при приеме на работу (до подписания трудового договора) работодатель обязан ознакомить работника под роспись с правилами внутреннего трудового распорядка, иными локальными нормативными актами, непосредственно связанными с трудовой деятельностью. Поскольку из содержания п. 1 ст. 86 ТК РФ следует, что персональные данные работников обрабатываются исключительно в связи с трудовой деятельностью, то локальные нормативные акты, регламентирующие обработку персональных данных, являются документами, связанными также с их трудовой деятельностью. Следовательно, со всеми локальными нормативными актами, регламентирующими обработку персональных данных, работник должен быть ознакомлен до подписания трудового договора. Структура Положения о персональных данных может быть следующей:

1) "Общие положения". В данном разделе следует указать, с какой целью принимается данное Положение и какие вопросы оно регулирует;

2) "Основные понятия. Состав персональных данных работников". Здесь следует указать, какие документы в организации содержат персональные данные;

3) "Обработка персональных данных". В этом разделе следует указать, какие условия должны быть соблюдены при обработке персональных данных работника;

4) "Передача персональных данных". Здесь следует прописать порядок передачи персональных данных работников внутри организации, а также сторонним лицам и государственным органам;

5) "Доступ к персональным данным". В данном разделе должна содержаться информация о порядке доступа к персональным данным работников. Доступ делится на внутренний (предоставление персональных данных отдельным работникам организации) и внешний (передача персональных данных представителям других организаций и государственных органов);

6) "Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных". В данном разделе нужно указать, кто в организации несет ответственность за нарушение правил хранения и использования персональных данных.

См. образец заполнения Положения.

4.2. Введение в действие Положения о персональных данных

Положение о персональных данных, как и любой другой локальный нормативный акт, издается и утверждается работодателем путем издания приказа, который подписывает руководитель организации или иное уполномоченное на это лицо. При наличии в организации представительного органа работников Положение о персональных данных должно приниматься с учетом требований ст. 372 ТК РФ. Согласно данной статье перед принятием решения об издании локального нормативного акта работодатель направляет его проект и обоснование его издания в выборный орган первичной профсоюзной организации, представляющий интересы всех или большинства работников. Данный орган не позднее пяти рабочих дней со дня получения проекта указанного локального нормативного акта направляет работодателю мотивированное мнение о проекте, составленное в письменной форме. В случае если это мнение выражает несогласие с проектом либо содержит предложения по его совершенствованию, работодатель может согласиться с мнением профсоюзного органа либо в течение трех дней после его получения провести дополнительные консультации с указанным органом в целях достижения решения, устраивающего обе стороны. Если согласие не достигнуто, возникшие разногласия оформляются протоколом, после чего работодатель имеет право своим решением принять локальный нормативный акт. В свою очередь профсоюзный орган может обжаловать это решение в соответствующую государственную инспекцию труда или в суд. Также согласно ч. 4 ст. 372 ТК РФ указанный орган может начать коллективный трудовой спор в соответствии с нормами Трудового кодекса РФ.

Вопрос: Возможно ли применение к организации каких-либо санкций, если на момент приема работников отсутствовало Положение о персональных данных?

Если на момент проверки организации государственной инспекцией труда Положение о персональных данных было принято и работники ознакомлены с ним под роспись, то оснований для применения санкций нет.

Поскольку исходя из содержания ст. 87 ТК РФ Положение о персональных данных является обязательным документом, в случае проверки организации проверяющие органы могут запросить данный документ и проверить, ознакомлены ли с ним работники. Отсутствие такого документа или неознакомление работников с ним может являться основанием для привлечения работодателя к ответственности согласно ст. 5.27 КоАП РФ. Тот факт, что на момент приема работников в организацию Положения о персональных данных не было, не будет иметь значения, если работодателем не были допущены нарушения правил хранения, использования и обработки персональных данных.

4.3. Ознакомление с Положением о персональных данных

Исходя из требований ст. ст. 68, 86 ТК РФ работники и их представители должны быть под роспись ознакомлены с Положением о персональных данных. Факт ознакомления с указанным Положением может фиксироваться как в тексте самого трудового договора (путем перечисления локальных нормативных актов, с которыми работник ознакомлен до подписания договора), так и в отдельном документе (в самом Положении на листе ознакомления с ним). Работодатель может также предусмотреть в организации журнал ознакомления работников с локальными нормативными актами, где работники будут расписываться в подтверждение того, что они ознакомлены с соответствующими актами (в т.ч. с Положением о персональных данных).

См. образец заполнения листа ознакомления с Положением о персональных данных.

См. образец заполнения листа ознакомления с локальными нормативными актами.

Вопрос: Можно ли ознакомить с Положением о персональных данных путем рассылки текста данного документа на служебные электронные адреса работников?

Такой способ ознакомления с локальным нормативным актом не соответствует требованиям действующего законодательства.

Согласно п. 8 ст. 86 ТК РФ работники и их представители должны быть ознакомлены под роспись с документами работодателя, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области. Рассылка документа по электронной почте не будет считаться ознакомлением под роспись. При отсутствии подписи работника работодатель не сможет доказать, что работник был ознакомлен с данным документом.

4.4. Изменение и дополнение персональных данных

Законом не предусмотрена обязанность работника своевременно уведомлять работодателя об изменении своих персональных данных.

Однако несвоевременное предоставление работником измененных данных может повлиять на исполнение работодателем своих обязанностей. Так, например, работодатель не сможет принять от работника листок временной нетрудоспособности, если в нем будет указана другая фамилия, поскольку Фонд социального страхования в таком случае не возместит работодателю выплаченную сумму.

Аналогичные ситуации могут возникнуть и с заработной платой, если она перечисляется работнику на зарплатную карточку через банк. Помимо этого, работодатель должен уведомить Пенсионный фонд об изменении данных конкретного работника (п. 4 ст. 7 Федерального закона от 01.04.1996 N 27-ФЗ "Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования").

При изменении данных руководителя организации следует сообщить прежде всего в налоговый орган в течение трех дней (п. 5 ст. 5 Федерального закона от 08.08.2001 N 129-ФЗ "О государственной регистрации юридических лиц и индивидуальных предпринимателей"). Для того чтобы выполнить данное требование, нужно воспользоваться формой N Р14001. Посредством заполнения данной формы в налоговый орган сообщаются сведения об изменениях в Едином государственном реестре юридических лиц, не связанных с изменениями в учредительных документах.

В связи с тем что своевременное предоставление изменившихся персональных данных избавит работодателя от многих проблем, следует прописать в Положении о персональных данных обязанность работника ставить работодателя в известность о таких изменениях в конкретный срок.

Исходя из того что персональные данные работника могут содержаться во многих документах работодателя, изменения вносятся следующим образом:

- в личную карточку работника (форма N Т-2). В соответствии с п. 1 Указаний, утвержденных Постановлением Госкомстата РФ от 05.01.2004 N 1, при изменении сведений о работнике в его личную карточку вносятся новые данные, которые заверяются подписью работника кадровой службы. Следовательно, прежние сведения необходимо зачеркнуть одной чертой и сверху или рядом с соответствующей графой поместить новые данные и заверить подписью работника кадровой службы;

- в трудовую книжку. В соответствии с п. 2.3 Инструкции по заполнению трудовых книжек (утв. Постановлением Минтруда России от 10.10.2003 N 69) изменения записей в трудовых книжках о фамилии, имени, отчестве и дате рождения производятся на основании паспорта, свидетельств о рождении, о браке, о расторжении брака, об изменении фамилии, имени, отчества и других документов и со ссылкой на их реквизиты. Указанные изменения вносятся на первую страницу (титульный лист) трудовой книжки. Одной чертой зачеркиваются прежние фамилия, имя, отчество или дата рождения и записываются новые данные. Ссылки на соответствующие документы проставляются на внутренней стороне обложки трудовой книжки и заверяются подписью работодателя или специально уполномоченного им лица и печатью организации (или кадровой службы). Следует также учитывать, что согласно п. 26 Постановления Правительства РФ от 16.04.2003 N 225 "О трудовых книжках" изменение записей о фамилии, имени, отчестве и дате рождения, а также об образовании, профессии и специальности работника производится работодателем по последнему месту работы на основании паспорта, свидетельств о рождении, о браке, о расторжении брака, об изменении фамилии, имени, отчества и других документов;

- в трудовой договор. Несмотря на то что законом это условие не установлено, внести изменения в трудовой договор необходимо во избежание затруднений и дальнейших ошибок у кадровых работников. Например, при составлении соглашения о переводе работника на другую должность в трудовом договоре будет указана прежняя фамилия работника, а в дополнительном соглашении - новая. Чтобы исключить возможность ошибок и недоразумений, следует такие изменения также отражать в дополнительном соглашении к трудовому договору.

См. образец заполнения личной карточки.

См. образец заполнения трудовой книжки.

См. образец заполнения дополнительного соглашения.

Для внесения изменений в другие документы, содержащие персональные данные работника (например, книгу учета движения трудовых книжек и т.д.), необходимо в произвольной форме составить приказ об изменении персональных данных конкретного работника. На основании данного приказа будут вноситься изменения во все остальные соответствующие документы. Внесенные изменения необходимо заверить подписью ответственного работника и печатью организации.

См. образец заполнения приказа.

Исходя из содержания п. п. 23, 24 Инструкции о порядке ведения индивидуального (персонифицированного) учета (утв. Постановлением Правительства РФ от 15.03.1997 N 318), работодатель в связи с переменой работником имени должен подать в территориальный орган Пенсионного фонда заявление об обмене страхового свидетельства в связи с изменением персональных данных, подписанное работником, и опись документов (формы N АДВ-2 и N АДВ-6, утвержденные Постановлением Правления ПФР от 31.07.2006 N 192п). После получения работодателем нового свидетельства его следует выдать в течение недели работнику, который должен расписаться в подтверждение выдачи в сопроводительной ведомости (п. 11 Инструкции).

В соответствии с п. 14 данной Инструкции страхователь в месячный срок после получения в территориальном органе страховых свидетельств, запросов об уточнении сведений и решений об отказе в регистрации возвращает в территориальный орган сопроводительную ведомость, листки исправлений, заполненные запросы об уточнении сведений и заявления о выдаче дубликата страхового свидетельства, а также страховые свидетельства, которые не были выданы застрахованным лицам по причине невостребованности или наличия в них ошибок.

Ставить в известность остальные фонды (социального страхования, обязательного медицинского страхования) о смене работником фамилии, имени, отчества не нужно.

4.5. Срок хранения персональных данных

Исходя из положений Перечня типовых управленческих документов, образующихся в деятельности организаций, с указанием сроков хранения (утв. Росархивом 06.10.2000) данные документы относятся к документам долговременного хранения и сроки их хранения различны - 50, 75 лет или постоянно. Согласно данному Перечню личные дела руководителя организации, членов руководящих, исполнительных, контрольных органов, работников, имеющих государственные и иные звания, премии, награды, ученые степени и звания, хранятся постоянно, а иных работников - в течение 75 лет. Трудовые договоры, соглашения, не вошедшие в состав личных дел, должны храниться 75 лет. Также 75 лет хранятся личные карточки. Невостребованные трудовые книжки хранятся 50 лет. Документы (справки, докладные, объяснительные записки, копии приказов, выписки из приказов, заявления, командировочные удостоверения и др.), не вошедшие в состав личных дел, хранятся 5 лет.

ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ

1. Ситуации, когда необходима передача персональных данных

1.1. Лица и органы, которым могут передаваться персональные данные без согласия работников

2. Оформление согласия работника на передачу его персональных данных

3. Последствия передачи персональных данных работника без его согласия в случае, когда такое согласие обязательно

1. Ситуации, когда необходима передача персональных данных

В соответствии со ст. 88 ТК РФ работодатель не должен сообщать персональные данные работника третьей стороне без письменного согласия данного работника, за исключением случаев, когда это необходимо для предупреждения угрозы жизни и здоровью работника, а также в других ситуациях, предусмотренных Трудовым кодексом РФ или иными федеральными законами. Также работодатель не имеет права сообщать персональные данные работника без его письменного согласия в коммерческих целях.

Информация о персональных данных работника может предоставляться при соблюдении вышеуказанных условий как работникам организации, так и должностным лицам государственных органов и другим организациям. Работодатель обязан отказать в предоставлении персональных данных, если лицо, обратившееся с запросом, не уполномочено федеральным законом на получение такой информации или же отсутствует письменное согласие работника на предоставление сведений о нем лицу, обратившемуся с запросом. В таком случае выдается письменное уведомление об отказе в предоставлении персональных данных.

Обязанность работодателя обеспечивать защиту персональных данных работника подтверждается судебной практикой. Так, суд указал, что работодатель правомерно не представил акционерам общества копию трудового договора с генеральным директором, поскольку ст. 88 ТК РФ установлен запрет на передачу персональных данных работника третьей стороне, а в соответствии со ст. 90 ТК РФ лица, виновные в нарушении норм, регулирующих защиту персональных данных, несут административную, гражданско-правовую или уголовную ответственность (см. Постановление ФАС Московского округа от 14.01.2010 N КА-А40/14463-09 по делу N А40-38438/09-17-269).

1.1. Лица и органы, которым могут передаваться персональные данные без согласия работников

При несчастном случае с работником работодатель обязан проинформировать соответствующие органы и организации, а при тяжелом несчастном случае (или смерти) - также его родственников. В данной ситуации согласия работника на передачу его персональных данных не требуется (ст. 228 ТК РФ). Перечень оповещаемых органов и сроки направления извещений о несчастном случае установлены ст. 228.1 ТК РФ.

Работодатель также обязан предоставить персональные данные работников государственным инспекторам труда при осуществлении ими надзорно-контрольной деятельности (ст. 357 ТК РФ). В соответствии со ст. 9 Федерального закона от 01.04.1996 N 27-ФЗ "Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования" работодатель обязан представить указанные данные в Пенсионный фонд РФ в следующих случаях:

- при начальной регистрации застрахованных лиц для индивидуального (персонифицированного) учета в системе обязательного пенсионного страхования;

- при приеме на работу не имевших до этого страхового стажа и страхового свидетельства обязательного пенсионного страхования граждан или при заключении с ними договоров гражданско-правового характера, на вознаграждения по которым в соответствии с законодательством РФ начисляются страховые взносы;

- при ликвидации, реорганизации юридического лица, прекращении физическим лицом деятельности в качестве индивидуального предпринимателя, снятии с регистрационного учета в качестве страхователя-работодателя адвоката, нотариуса, занимающегося частной практикой;

- при утрате работающим у него застрахованным лицом страхового свидетельства обязательного пенсионного страхования;

- при изменении передаваемых сведений о работающих у него застрахованных лицах.

Согласно п. 2 ст. 11 указанного Закона страхователь представляет в Пенсионный фонд РФ один раз в год, но не позднее 1 марта о каждом работающем у него застрахованном лице сведения, в которых указывает:

1) страховой номер индивидуального лицевого счета;

2) фамилию, имя и отчество;

3) дату приема на работу (для застрахованного лица, принятого на работу в течение отчетного периода) или дату заключения договора гражданско-правового характера, на вознаграждение по которому в соответствии с законодательством РФ начисляются страховые взносы;

4) дату увольнения (для застрахованного лица, уволенного в течение отчетного периода) или дату прекращения договора гражданско-правового характера, на вознаграждение по которому в соответствии с законодательством РФ начисляются страховые взносы;

5) периоды деятельности, которые входят в стаж работ с особыми условиями труда, в районах Крайнего Севера и приравненных к ним местностях;

6) сумму заработка (дохода), на который начислялись пенсионные взносы;

7) сумму начисленных пенсионных взносов;

8) другие сведения, необходимые для правильного начисления трудовой пенсии;

9) суммы страховых взносов, уплаченных за застрахованное лицо, которое является субъектом профессиональной пенсионной системы;

10) периоды трудовой деятельности, включаемые в профессиональный стаж застрахованного лица, которое является субъектом профессиональной пенсионной системы.

В соответствии со ст. 61 Основ законодательства об охране здоровья граждан от 22.07.1993 (утв. ВС РФ 22.07.1993 N 5487-1) передача работодателю сведений, составляющих врачебную тайну, допускается с согласия гражданина или его законного представителя. Исключением являются случаи, когда информация о состоянии здоровья работника передается работодателю при угрозе распространения инфекционных заболеваний, массовых отравлений и поражений или при наличии оснований, позволяющих полагать, что вред здоровью гражданина причинен в результате противоправных действий.

Федеральными законами могут быть предусмотрены иные случаи передачи персональных данных без согласия работника.

2. Оформление согласия работника на передачу его персональных данных

В соответствии со ст. 88 ТК РФ передача персональных данных работника третьей стороне без письменного согласия указанного работника не разрешается, за исключением предусмотренных законом случаев. Также данной статьей предусмотрено, что без согласия работника персональные данные не могут передаваться в коммерческих целях. Соответственно, для передачи персональных данных необходимо письменное согласие работника. Из указанного документа должно быть понятно, кому будут передаваться персональные данные работника и с какой целью. Следует также учитывать, что в соответствии со ст. 88 ТК РФ работодатель обязан предупредить лиц, получающих персональные данные, о том, что данные сведения могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено.

См. образец заполнения согласия.

См. образец заполнения письма.

См. образец заполнения ответа.

3. Последствия передачи персональных данных работника без его согласия в случае, когда такое согласие обязательно

В соответствии со ст. 90 ТК РФ лица, которые виновны в нарушении норм, регулирующих получение, обработку и защиту персональных данных работника, могут быть привлечены к дисциплинарной и материальной, а также к гражданско-правовой, административной и уголовной ответственности. Следовательно, передача персональных данных без согласия работника в случае, когда такое согласие обязательно, расценивается как нарушение законодательства о персональных данных. Работник может обратиться за защитой своих прав в государственные органы, к компетенции которых эти вопросы относятся. Необходимо иметь в виду, что за нарушение законодательства о персональных данных ответственность будут нести то лицо, которое допустило нарушение (единоличный исполнительный орган), и организация в целом. Подробнее об этом см. раздел "Ответственность за нарушение норм, регулирующих защиту персональных данных" настоящего материала.

ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЕ НОРМ, РЕГУЛИРУЮЩИХ ЗАЩИТУ ПЕРСОНАЛЬНЫХ ДАННЫХ

1. Ответственность работодателя

2. Ответственность работника, имеющего доступ к персональным данным других работников

2.1. Административная ответственность работника, имеющего доступ к персональным данным других работников

2.2. Дисциплинарная ответственность работника, имеющего доступ к персональным данным других работников

2.3.Уголовная ответственность работника, имеющего доступ к персональным данным других работников

2.4.Материальная ответственность работника, имеющего доступ к персональным данным других работников

2.5. Гражданско-правовая ответственность работника, имеющего доступ к персональным данным других работников

1. Ответственность работодателя

В соответствии со ст. 13.11 КоАП РФ нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) влечет предупреждение или наложение административного штрафа:

- на граждан - от 300 до 500 руб.;

- на должностных лиц - от 500 до 1000 руб.;

- на юридических лиц - от 5000 до 10 000 руб.

Из текста данной нормы можно сделать вывод, что работодатель как юридическое лицо может быть привлечен к административной ответственности за нарушение порядка сбора, хранения, использования или распространения персональных данных.

Помимо организации, ответственность за нарушение несет ее руководитель как должностное лицо. Это вытекает из смысла ст. 2.4 КоАП РФ, где указано, что под должностным лицом понимается лицо, выполняющее организационно-распорядительные или административно-хозяйственные функции. Как указал Верховный Суд РФ в Постановлении от 10.02.2000 N 6 "О судебной практике по делам о взяточничестве и коммерческом подкупе", организационно-распорядительные функции включают в себя руководство коллективом, расстановку и подбор кадров, организацию труда или службы подчиненных, поддержание дисциплины, применение мер поощрения и наложение дисциплинарных взысканий.

2. Ответственность работника, имеющего доступ к персональным данным других работников

Исходя из смысла ст. 90 ТК РФ работник, по вине которого было допущено нарушение норм, регулирующих получение, обработку и защиту персональных данных других работников, может быть привлечен к дисциплинарной и материальной, а также к гражданско-правовой, административной и уголовной ответственности.

2.1. Административная ответственность работника, имеющего доступ к персональным данным других работников

На основании ст. ст. 2, 3, 5, 6 Закона о персональных данных персональные данные относятся к информации, доступ к которой ограничен. В соответствии со ст. 13.14 КоАП РФ разглашение подобной информации (за исключением случаев, если такое разглашение влечет уголовную ответственность) лицом, получившим доступ к ней в связи с исполнением служебных или профессиональных обязанностей, влечет наложение административного штрафа:

- на граждан - от 500 до 1000 руб.;

- на должностных лиц - от 4000 до 5000 руб.

Следовательно, если будет установлено, что разглашение персональных данных произошло по вине работника, ответственного за хранение, обработку и использование персональных данных других работников, то его могут привлечь к административной ответственности в виде штрафа.

2.2. Дисциплинарная ответственность работника, имеющего доступ к персональным данным других работников

Персональные данные относятся к сведениям, которые охраняются федеральным законом. Неправомерное разглашение персональных данных лицом, в чьи обязанности входит соблюдение правил хранения, обработки и использования такой информации, также является основанием для привлечения этого лица к дисциплинарной ответственности (ст. 90 ТК РФ). Согласно пп. "в" п. 6 ч. 1 ст. 81 ТК РФ трудовой договор с работником может быть расторгнут по причине разглашения охраняемой законом тайны, ставшей известной работнику в связи с исполнением им трудовых обязанностей, в том числе по причине разглашения персональных данных другого работника. Поскольку такое увольнение относится к увольнениям за нарушение трудовой дисциплины, то работника, разгласившего персональные данные, необходимо уволить с соблюдением процедуры, предусмотренной ст. 193 ТК РФ.

2.3. Уголовная ответственность работника, имеющего доступ к персональным данным других работников

В соответствии со ст. 137 УК РФ незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации наказываются штрафом в сумме до 200 тыс. руб. или в размере заработной платы либо иного дохода осужденного за период до 18 месяцев, либо обязательными работами на срок от 120 до 180 часов, либо исправительными работами на срок до одного года, либо арестом на срок до четырех месяцев.

Часть 2 указанной статьи предусматривает, что те же деяния, совершенные лицом с использованием своего служебного положения, наказываются штрафом в сумме от 100 тыс. до 300 тыс. руб. или в размере заработной платы либо иного дохода осужденного за период от одного года до двух лет, либо лишением права занимать определенные должности или заниматься определенной деятельностью на срок от двух до пяти лет, либо арестом на срок от четырех до шести месяцев.

Следовательно, если работник, ответственный за хранение, обработку и использование персональных данных других работников, злоупотреблял своими служебными полномочиями, распространял сведения о частной жизни других работников без их согласия, то он может быть привлечен к уголовной ответственности.

2.4. Материальная ответственность работника, имеющего доступ к персональным данным других работников

Статьей 90 ТК РФ предусмотрена материальная ответственность за виновное нарушение норм, регулирующих получение, обработку и защиту персональных данных работников. Так, в результате незаконного распространения информации о персональных данных работника последнему может быть причинен моральный вред, подлежащий возмещению работодателем. В соответствии со ст. 238 ТК РФ работник обязан возместить работодателю причиненный последнему прямой действительный ущерб. Согласно ч. 2 указанной статьи под прямым действительным ущербом также понимается необходимость возмещения ущерба третьим лицам. Следовательно, если вред работнику был допущен по вине лица, которое было ответственно за неразглашение персональных данных, то работодатель может привлечь последнее к материальной ответственности за ущерб, который был нанесен работнику такими действиями. В соответствии с п. 7 ч. 1 ст. 243 ТК РФ материальная ответственность в полном размере причиненного ущерба возлагается на работника в случае разглашения сведений, составляющих охраняемую законом тайну.

2.5. Гражданско-правовая ответственность работника, имеющего доступ к персональным данным других работников

В соответствии со ст. 151 ГК РФ, если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права либо посягающими на принадлежащие гражданину другие нематериальные блага, а также в иных случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда. Согласно ч. 2 ст. 1099 ГК РФ моральный вред, причиненный действиями (бездействием), нарушающими имущественные права гражданина, подлежит компенсации в случаях, предусмотренных законом. На основании ст. 152 ГК РФ гражданин вправе требовать по суду опровержения порочащих его честь, достоинство или деловую репутацию сведений, если распространивший такие сведения не докажет, что они соответствуют действительности. Следовательно, если в результате нарушения норм, регулирующих хранение, обработку и использование персональных данных работника, допущенного лицом, ответственным за осуществление вышеперечисленных действий с персональными данными, работнику причинен имущественный ущерб или моральный вред, то он подлежит возмещению в денежной форме в соответствии со статьями Гражданского кодекса РФ.

Ответственность по вопросам защиты персональных данных работников

Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных работника, несут ответственность в соответствии с федеральными законами: дисциплинарную, административную, гражданско-правовую и уголовную.