 |
Раздел 4. Локальные акты организации
|
|
|
|
Статьей 87 Трудового кодекса РФ предусмотрено, что порядок хранения и использования персональных данных работников устанавливается работодателем с учетом требований ТК РФ и иных федеральных законов, что подразумевает регулирование порядка обработки персональных данных работников локальными нормативными и иными актами.
Поскольку п. 8 ст. 86 ТК РФ предполагает обязанность работодателя знакомить под роспись работников и их представителей с документами работодателя, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области, соответственно работодатель обязан принять соответствующие локальные нормативные акты.
Основным таким локальным нормативным актом может быть Положение о защите персональных данных работников, которое принимается с учетом мнения выборного органа первичной профсоюзной организации учреждения в порядке, предусмотренном ст. 372 ТК РФ.
Целью принятия данного положения является определение порядка обработки персональных данных работников, обеспечение защиты прав и свобод работников при обработке их персональных данных, а также определение ответственности лиц, имеющих доступ к персональным данным работников, за невыполнение правовых норм, регулирующих обработку и защиту персональных данных работников.
Отсутствие данного локального нормативного акта может быть квалифицировано государственным и иным органом государственного контроля (надзора) (например, федеральной инспекцией труда) как нарушение работодателем трудового законодательства[8].
Исходя из требований ст. ст. 68, 86 ТК РФ работники и их представители должны быть под роспись ознакомлены с Положением о персональных данных. Факт ознакомления с указанным Положением может фиксироваться как в тексте самого трудового договора (путем перечисления локальных нормативных актов, с которыми работник ознакомлен до подписания договора), так и в отдельном документе (в самом Положении на листе ознакомления с ним). Работодатель может также предусмотреть в организации журнал ознакомления работников с локальными нормативными актами, где работники будут расписываться в подтверждение того, что они ознакомлены с соответствующими актами (в т.ч. с Положением о персональных данных).
|
|
|
В соответствии со ст. 68 ТК РФ при приеме на работу (до подписания трудового договора) работодатель обязан ознакомить работника под роспись с правилами внутреннего трудового распорядка, иными локальными нормативными актами, непосредственно связанными с трудовой деятельностью. Поскольку из содержания п. 1 ст. 86 ТК РФ следует, что персональные данные работников обрабатываются исключительно в связи с трудовой деятельностью, то локальные нормативные акты, регламентирующие обработку персональных данных, являются документами, связанными также с их трудовой деятельностью. Следовательно, со всеми локальными нормативными актами, регламентирующими обработку персональных данных, работник должен быть ознакомлен до подписания трудового договора. Структура Положения о персональных данных может быть следующей:
1) «Общие положения». В данном разделе следует указать, с какой целью принимается данное Положение и какие вопросы оно регулирует;
2) «Основные понятия. Состав персональных данных работников». Здесь следует указать, какие документы в организации содержат персональные данные;
3) «Обработка персональных данных». В этом разделе следует указать, какие условия должны быть соблюдены при обработке персональных данных работника;
|
|
|
4) «Передача персональных данных». Здесь следует прописать порядок передачи персональных данных работников внутри организации, а также сторонним лицам и государственным органам;
5) «Доступ к персональным данным». В данном разделе должна содержаться информация о порядке доступа к персональным данным работников. Доступ делится на внутренний (предоставление персональных данных отдельным работникам организации) и внешний (передача персональных данных представителям других организаций и государственных органов);
6) «Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных». В данном разделе нужно указать, кто в организации несет ответственность за нарушение правил хранения и использования персональных данных.
Наряду с Положением о защите персональных данных работников в организации, осуществляющей образовательную деятельность, также представляется необходимым наличие следующих документов:
- приказ об утверждении списка лиц, имеющих доступ к персональным данным работников;
- обязательство указанных лиц о неразглашении персональных данных работников;
- согласие лиц, персональные данные которых обрабатываются, на их обработку и передачу в рамках исполнения работниками трудовых обязанностей и хозяйственной деятельности предприятия;
- уведомление работника о получении его персональных данных от третьих лиц.
Поскольку на работодателя возложена обязанность соблюдения режима конфиденциальности персональных данных, то необходимо в целях обеспечения выполнения этого требования вести журналы учета персональных данных, их выдачи и передачи другим лицами представителям различных организаций, органам государственного контроля (надзора), правоохранительным органам, которые обеспечат документальную фиксацию внутреннего и внешнего доступа к персональным данным работников.
В журнале учета внутреннего доступа к персональным данным следует указывать такие сведения, как дата выдачи и возврата документов (личных дел), срок пользования, цели выдачи, наименование выдаваемых документов (личных дел). Лицо, которое возвращает документ (личное дело), должно обязательно присутствовать при проверке наличия всех имеющихся документов по описи, если выданные документы составлены более чем на одном листе.
|
|
|
Лицо, которое получает личное дело другого работника во временное пользование, не имеет права делать в нем какие-либо пометки, исправления, вносить новые записи, извлекать документы из личного дела или помещать в него новые.
Помимо этого работодателю необходимо вести журнал учета выдачи персональных данных работников организациям и государственным органам, в котором необходимо регистрировать поступающие запросы, а также фиксировать сведения о лице, направившем запрос, дату передачи персональных данных или уведомления об отказе в их предоставлении и отмечать, какая именно информация была передана.
Система учета персональных данных также может предусматривать проведение регулярных проверок наличия документов и других носителей информации, содержащих персональные данные работников, а также устанавливать порядок работы с ними. В этой связи необходимо ведение журнала проверок наличия документов, содержащих персональные данные работников.
Кроме того, учитывая, что к числу методов и способов защиты информации от несанкционированного доступа для обеспечения безопасности персональных данных в информационных системах определенного класса относится учет всех защищаемых носителей информации с помощью их маркировки и занесения учетных данных в журнал учета, то необходимо также ведение журнала учета применяемых работодателем носителей информации.
|
|
|
