Составление положения о персональных данных и иных локальных актов по 152-ФЗ

Какие локальные документы по персональной информации нужны работодателю

Всего поименовано более полусотни различных локальных актов по 152-ФЗ. При этом есть основные документы, которые в обязательном порядке должны быть у каждого работодателя. Но также есть акты, наличие которых поставлено в зависимость от особенностей бизнес-процессов.

Какие факторы имеют значение?

• Компания-работодатель обрабатывает личную информацию только своих сотрудников или еще и клиентов.
• Компания сама обрабатывает эту информацию или передает ее другим субъектам и т. д.

Соответственно, чтобы определить конкретный список обязательных документов, нужно тщательно проанализировать ситуацию и учесть специфику деятельности оператора данных. При этом каждый принятый документ должен соответствовать установленным требованиям закона, например, определенные локальные акты нуждаются в согласовании еще и с профсоюзом. Если работодатель не выполнит все условия, то не сможет выдержать проверку Роскомнадзора.

Разработать полный комплект локальной документации в точном соответствии с нормами 152-ФЗ помогут эксперты «Консалт-групп». Предоставим консультации,уведомим Роскомнадзор и подготовим ответы на требования РКН.

Документы о порядке работы с личными данными

Работодателю, как оператору данных, обязательно нужно разработать и утвердить документы, которые будут регламентировать порядок работы с личной информацией, механизмы защиты полученных данных и способы уничтожения персональных данных. Такие документы могут называться положениями, регламентами, инструкциями и т. д. Следует обращать внимание на суть и содержание документа.

Во-первых, потребуется документ для работы с данными сотрудников, в котором будет прописан порядок обработки и защиты информации, цели обработки, а также права/обязанности сторон в сфере защиты личной информации (см. ст. 86-88 ТК). Назовем его положение об обработке персональных данных работников. Оно утверждается с учетом мнения профсоюза.

Во-вторых, согласно 152-ФЗ нужен документ, который устанавливает основополагающие принципы работы оператора с личной информацией физлиц (не только работников, но также клиентов и др. людей). Чаще всего такой документ называют Политикой конфиденциальности. Доступ к этому документу для всех желающих должен быть свободным, поэтому компании обычно размещают политику на веб-ресурсе (не только на сайте, но также в приложениях и соцсетях).

В-третьих, потребуется локальный нормативный акт, определяющий способы защиты сведений (меры по обеспечению безопасности) и алгоритм действий в случае утечки информации и нарушении прав субъектов персональных данных. Назовем его положение о защите персданных.

Могут быть приняты и другие локальные документы (регламенты, порядки), определяющие правила обработки информации в соответствии с целями сбора, сроки хранения, механизмы уничтожения и т. д. по смыслу 152-ФЗ (см. п. 2. ч. 1 ст. 18.1).

Назначение ответственных лиц

Определив порядок работы с личной информацией, работодателю следует подготовить конкретизирующие локальные документы (они могут быть приложениями к положению о персданных). Примерный перечень:

• приказ руководителя об определении ответственных лиц,
• должностные инструкции таких сотрудников (помимо трудового договора),
• приказ об ограничении доступа к полученной личной информации,
• инструкции о порядке ознакомления персонала с требованиями по 152-ФЗ,
• обязательство о неразглашении,
• журналы учета и т. п.

Формы документов по персданным

Помимо регламентов и положений, определяющих правила работы с личной информацией, нужно еще утвердить перечень типовых форм документов, где используются сведения граждан, и другие шаблоны (письма, запросы, ответы).

Как минимум, потребуется разработать шаблон согласия на обработку личной информации, в том числе биометрии (на законодательном уровне запрещено включать такое согласие в текст других документов).

Отдельно стоит предусмотреть письменное согласие на распространение полученной личной информации, так как согласие на обработку еще не предполагает разрешение на передачу этих данных другим субъектам.

Также потребуются формы актов, например, об уничтожении персданных и т. п.

Документы для Роскомнадзора

Работодателю, как оператору данных, потребуется направить в РКН уведомление о начале работы с персданными (с указанием даты начала). Уведомление можно подать в бумажном виде или в цифровом (потребуется цифровая подпись для использования сервиса РКН или подтвержденная учетная запись на госуслугах).

Дополнительно нужно сообщить об изменении сведений и о прекращении обработки информации.

В случае утечки данных (неправомерной передачи таких сведений третьим лицам), также нужно также информировать РКН (иначе штраф до 3 000 000 рублей).

Чем грозит отсутствие документов

Роскомнадзор осуществляет контроль деятельности операторов персданных. В случае обнаружения несоответствий в работе операторов РКН потребует устранить нарушения, что, впрочем, не освободит операторов от уплаты штрафов. Суммы штрафов прямо указаны в ст. 13.11 КоАП.

• Работа с персданными без постановки на учет в РКН (без подачи уведомления) будет стоить бизнесу до 300 000 ₽, а если при этом произошла утечка данных, то до 3 000 000 ₽.
• Использование персданных (сбор, обработка, распространение) без оформленного согласия субъекта — до 700 000 ₽, а при повторных нарушениях — до 1 500 000 ₽.
• Отсутствие политики обработки персданных на сайте — до 60 000 ₽.
• Обработка персданных с иными нарушениями закона — до 300 000 ₽, а при повторных нарушениях — до 500 000 ₽.

Что интересно, по многим пунктам ИП отвечают как компании (ответственность предпринимателей приравнивается к юрлицам)

Чек-лист для работодателя: «Нужен ли вам комплект документов по 152-ФЗ»

1. Вы являетесь оператором персданных согласно федеральному закону 150-ФЗ?

Если ваш ответ — нет, то и обязанностей оператора персданных у вас нет (дальше можно не читать). Если вы затрудняетесь с ответом, проконсультируйтесь у экспертов «Консалт-групп».

2. Состоите на учете в Роскомнадзоре (включены в специальный реестр операторов персданных)?

Если нет, то необходимо срочно направить в РКН соответствующее уведомление. Если с момента первичного уведомления прошло много времени, следует проверить актуальность данных в государственном реестре и при необходимости подать корректирующее уведомление.

3. Утвердили и опубликовали свою политику в вопросах обработки персданных?

Каждый оператор персданных без исключения должен обеспечить свободный доступ субъектов к своей политике, определяющей принципы работы с персданными. Если у вас есть сайт, проверьте, опубликована там политика или нет.

4. Разработали и утвердили документ, определяющий правила обработки личных данных сотрудников?

Это может быть как отдельный документ по персданным сотрудников, так и общий документ по правилам обработки данных всех субъектов, включая клиентов.

5. Назначили ответственное лицо за работу с персданными в компании, ознакомили с правилами работы под роспись?

Эта обязанность предусмотрена для операторов-юрлиц. Ответственным может быть директор или любое иное уполномоченной им лицо (начальник отдела кадров, юрист и др.).

6. Определили в документах правила защиты, хранения, уничтожения персональной информации?

Это могут быть регламенты, положения, инструкции и т. п. документы.

7. Подготовили формы документов по персданным: согласия субъектов, журналы, акты и прочее?

Законодательно утвержденных форм (образцов) нет, но есть требования к содержанию таких документов.

8. Состав и содержание утвержденных документов соответствует актуальным требованиям законодательства в сфере персданных?

Законодательство в сфере персданных постоянно меняется, поэтому необходимо отслеживать новые требования и своевременно вносить корректировки в локальные документы.

Что мы берем на себя

Если вам нужны гарантии соответствия вашей документации требованиям законодательства в области персональных данных, закажите проверку в Консалт-групп»!

Наши эксперты проведут мини-аудит вашей документации, предоставят рекомендации по устранению нарушений и подготовят полный комплект документов в соответствии с 152-ФЗ.

Нам можно написать в чате привычного мессенджера. Также вы можете заполнить форму обратной связи, и наши специалисты сами свяжутся с вами и предоставят бесплатную консультацию.