Далеко не все компании уделяют должное внимание сохранности персональных данных своих сотрудников. Между тем санкции за такие нарушения все растут. Разберемся, что же такое персональные данные, что является обработкой данных и как следует правильно оформлять хранение и обработку персданных.
Что такое персональные данные
Для начала разберемся, что такое персональные данные и что к ним относятся.
Согласно 152- ФЗ, персональные данные — это любая информация, которая прямо или косвенно относится определенному или определяемому физическому лицу (субъекту персональных данных).
К персональным данным относятся:
-
фамилия, имя, отчество;
-
место, дата рождения;
-
место постоянной или временной регистрации;
-
фотография или видеозапись человека, позволяющие идентифицировать человека;
-
сведения о детях, родственниках, семейном положении;
-
сведения о заработной плате, доходах;
-
оценка навыков, личностных качеств;
-
индивидуальные личные данные (раса, национальность, политические или религиозные взгляды, философские убеждения; состояние здоровья);
-
информация о судимостях, или их отсутствии;
-
номер телефона, адрес электронной почты, иные идентификаторы в соц. сетях или мессенджерах;
-
паспортные данные, СНИЛС, ИНН;
-
биометрические данные.
Это открытый перечень данных, который постоянно дополняется.
Сотрудники кадровых отделов постоянно работают с персональными данными сотрудников компании: получают, обрабатывают, хранят и передают сведения. Важно, чтобы сотрудники, работающие с персональными данными, знали правила обращения с персональными сведениями, и четко им следовали. Так как персональные данные сотрудников – это строго конфиденциальная информация. Это значит, что такие данные нельзя разглашать без письменного согласия сотрудников.
«Обработкой» данных считается любое взаимодействие с персональными данными.
Обращаем внимание, что незаконно требовать с сотрудника избыточную информацию.
По закону оператор организация вправе собирать данные в соответствии с целями их обработки.
Категории персональных данных
Согласно Роскомнадзору, все персональные данные делятся на три группы:
Персональные данные — любая информация, которая прямо или косвенно относится к определенному или определяемому физическому лицу. Это Ф.И.О., дата рождения, адрес, номер телефона, семейное положение, прежнее место работы и т.д.
Специальная категория —это информация о расе, нации, политические взгляды, религия, состояние здоровья, интимная жизнь.
Биометрические персональные данные — сведения, которые характеризуют физиологические и биологические особенности человека и позволяют установить его личность.
Какие документы нужны для работы с персональными данными
Для того, чтобы обезопасить себя во время проверки сохранности персональных данных, в компании должны быть следующие документы, которые можно будет предъявить по требованию проверяющих:
-
положение о персональных данных;
-
приказ о назначении ответственных за работу с персональными данными;
-
приказ о назначении ответственных за обеспечение безопасности персональных данных;
-
заявления работников о согласии на обработку персональных данных.
Как правильно хранить и использовать персональные данные о сотрудниках
Согласно статье 88 Трудового кодекса при передаче персональных данных сотрудников, работодатель обязан:
-
не сообщать персональные данные работника третьей стороне без письменного согласия самого работника. Исключением в данном случае является ситуации, когда жизни и здоровью сотрудника что-то угрожает:
-
не сообщать персональные данные работника в коммерческих целях без его письменного согласия;
-
предупредить сотрудников, которые работают с персональными данными, что использовать такие данные можно лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Такие сотрудники обязаны соблюдать режим конфиденциальности;
-
осуществлять передачу персональных данных работника в пределах одной организации, у одного индивидуального предпринимателя в соответствии с локальным нормативным актом, с которым работник должен быть ознакомлен под роспись;
-
разрешать доступ к персональным данным работников только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные работника, которые необходимы для выполнения конкретных функций;
-
нельзя заращивать информацию о состоянии здоровья работника. Исключение, если такая информация необходима, чтобы понять, справится ли сотрудник со своей трудовой функцией.
Работодатель, при организации хранения данных, обязан защитить персональные данные от несанкционированного доступа третьих лиц, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных. Следовательно, работодателю необходимо обеспечить правовые, организационные и технические средства защиты, такие как: наличие сейфов с кодами доступа (и/или шкафов, запирающихся на замок, и/или отдельных помещений, закрывающихся на ключ или соответствующий код – для персональных данных, обрабатываемых без использования средств автоматизации). Информация о кодах или доступ к ключам должен быть только у допущенных к работе с персональными данными лиц.
В локальных актах организации должны быть приписаны правила защиты личных сведений о сотрудниках. Все сотрудники организации обязаны ознакомится с этими правилами и расписаться о согласии с документом. Для порядка и безопасности организации нужно создать положения и приказы для работы с персданными.
Обращаем внимание, хранить персональные данные следует в российских базах данных.