Что следует делать работодателям, чтобы обеспечить охрану персональных данных работников, и как уведомлять Роскомнадзор о намерении обрабатывать персональные данные, с учетом изменений законодательства, вступивших в силу 1 сентября 2022 года? Об этом вы расскажем в нашей новой статье.
Работа с персональными данными работников: ответы на вопросы (Часть 2)
Как подать уведомление об обработке персональных данных в Роскомнадзор?
Если работодатель обрабатывает персональные данные, он должен быть включен в реестр операторов персональных данных. Для этого необходимо представить соответствующее уведомление в Роскомнадзор. Направить уведомление необходимо до начала обработки персональных данных, однако делать это нужно не всегда.
Когда не нужно уведомлять Роскомнадзор?
В ч. 2 ст. 22 Закона № 152-ФЗ закреплен перечень случаев, когда осуществлять обработку персональных данных работников можно без дополнительных уведомлений. Обрабатывать без уведомления Роскомнадзора можно персональные данные включенные в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка, обрабатываемые исключительно без использования средств автоматизации, обрабатываемые в случаях, предусмотренных законодательством РФ о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства. Во всех остальных случаях уведомление Роскомнадзора является обязательным. Это касается, в том числе, случаев обработки персональных данных работников и соискателей.
Оформление уведомления
Форма уведомления об обработке персональных данных утверждена приказом Минкомсвязи России от 30.05.2017 № 94. Перечень сведений, которые необходимо указать в уведомлении, закреплен в ч. 3 ст. 22 Закона № 152-ФЗ и включает наименование, адрес оператора, цель обработки персональных данных, описание мер, предусмотренных ст. 18.1 и 19 Закона № 152-ФЗ, в том числе сведения о наличии шифровальных средств и наименования этих средств, Ф.И.О. лица или наименование юридического лица, ответственных за организацию обработки персональных данных, и номера их контактных телефонов, почтовые адреса и адреса электронной почты, дату начала обработки персональных данных, срок или условие прекращения обработки персональных данных, сведения о наличии или об отсутствии трансграничной передачи персональных данных в процессе их обработки, сведения о месте нахождения базы данных информации, содержащей персональные данные граждан РФ, Ф.И.О. физического лица или наименование юридического лица, имеющих доступ и осуществляющих на основании договора обработку персональных данных, содержащихся в государственных и муниципальных информационных системах, сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством России. Подавая уведомление, оператор для каждой цели обработки персональных данных должен указать в нем также категории персональных данных, категории субъектов, персональные данные которых обрабатываются, правовое основание обработки персональных данных, перечень действий с персональными данными, способы обработки персональных данных.
Подача уведомления
Уведомление можно подать как на бумажном носителе, так и в электронной форме. Выбрать удобную для себя форму подачи можно самостоятельно. Составить уведомление в электронной форме можно с помощью портала Роскомнадзора. Заполнив такую форму и отправив ее в Роскомнадзор в электронном виде, необходимо также распечатать ее и направить по почте. Уведомление полностью в электронной форме можно направить только через портал Госуслуг. В этом случае распечатывать уведомление на бумаге и отправлять в Роскомнадзор не нужно.
Проверка уведомления и внесение в реестр операторов
В течение 30 дней с даты поступления уведомления Роскомнадзор обязан внести указанные в нем сведения в Реестр операторов персональных данных. Оператор должен внимательно следить за правильностью сведений, вносимых в уведомления для отправки в Роскомнадзор. В случае обнаружения ошибок этот орган вправе потребовать уточенные сведения. Такие сведения необходимо представить в Роскомнадзор не позднее 30 дней с даты получения от него соответствующего запроса. Кроме того, оператор должен своевременно сообщать в Роскомнадзор об изменении или прекращении обработки персональных данных. Например, об изменении срока обработки персональных данных. Сделать это нужно не позднее 10 рабочих дней с даты возникновения таких изменений или даты прекращения обработки персональных данных.
Как утвердить положение о персональных данных и иные документы?
Согласно требованиям ст. 87 ТК РФ каждый работодатель обязан утвердить порядок хранения и использования персональных данных своих работников. Для этого необходимо утвердить соответствующий документ.
Положение о персональных данных и их защите
Это локальный нормативный акт, который регламентирует порядок получения, использования и хранения персональных данных сотрудников работодателя. Форма Положения о персональных данных законом не утверждена, поэтому его придется составить самостоятельно. Закон не содержит четкого перечня сведений, которые должны содержаться в этом документе, конкретные положения придется определить самостоятельно. Положение является общим документом, определяющим политику организации в области обработки персональных данных. Данное Положение следует утвердить приказом руководителя организации или иного уполномоченного работодателем лица. При наличии в организации представительного органа работников локальные акты должны приниматься с учетом его мнения в порядке ст. 372 ТК РФ.
Помимо Положения о персональных данных у работодателя должны быть Политика обработки персональных данных, Приказ о назначении ответственного за организацию обработки персональных данных у работодателя.
Другие документы
Закон не конкретизирует перечень документов, которые следует составить работодателю, обрабатывающему персональные данные сотрудников. Помимо общего Положения о персональных надо составить Инструкцию о порядке обеспечения конфиденциальности при обращении с информацией, содержащей персональные данные, Приказы о возложении персональной ответственности за защиту персональных данных, Перечень персональных данных, обрабатываемый работодателем, в него включается категория данных, объем и срок хранения, способ обработки, перечень должностей сотрудников, их обрабатывающих, наличие согласия на обработку, Регламент допуска сотрудников к обработке персональных данных, Перечень допущенных сотрудников к обработке персональных данных, Перечень информационных систем, обрабатывающих персональные данные с указанием места расположения, Должностные инструкции сотрудников, имеющих отношение к обработке персональных данных.
Ознакомление сотрудников с Положением о персональных данных и другими документами
В соответствии с требованиями п. 8 ст. 86 ТК РФ работники и их представители должны быть ознакомлены с документами, устанавливающими порядок обработки персональных данных, а также с правами и обязанностями в этой области. Поэтому с вышеперечисленными документами следует ознакомить сотрудников под подпись. При этом закон не устанавливает конкретной формы ознакомления – работодатель вправе сам решить, каким образом фиксировать это в своих документах. Например, распространена практика оформления журнала ознакомления с локальными нормативными актами. Для подтверждения факта ознакомления работник должен поставить подпись в соответствующей графе. Возможны и иные варианты, например, подтверждение в виде отдельного документа, включение соответствующего пункта в трудовой договор и т.д. Если у работодателя применяется кадровый электронный документооборот, то работников можно ознакомить с локальными нормативными актами в электронной форме.
Публикация информации о порядке обработки персональных данных
Согласно закону операторы персональных данных обязаны опубликовать или иным способом предоставить всем желающим неограниченный доступ к документу, определяющему их политику в отношении обработки персональных данных. Если сбор персональных данных осуществляется через интернет, оператор обязан опубликовать такой документ в интернете. Закон № 152-ФЗ не конкретизирует, что это за документ. Это может быть и Положение о персональных данных, и любой другой аналогичный документ. Эту информацию можно разместить, например, на информационном стенде, доступном всем желающим, на интернет-сайте и т.д. Исполнение этих требований может быть проверено Роскомнадзором в любое время. Если от него поступил соответствующий запрос, необходимо представить указанные выше документы, а также доказательства выполнения требований закона о публикации таких документов.
