Материал: Тема 2
Что актуализировать в обязательных кадровых документах
1 урок
2 урок
3 урок
1 УРОК ИЗ 3
Документы по персданным: как не допустить, чтобы Роскомнадзор разорил компанию
Автор: Надежда Киселева, юрист образовательного проекта по трудовому законодательству и HR
Работа с персональными данными пугает всех, ведь за каждую ошибку в обработке или хранении такой информации компанию накажут до 75 тыс. руб. Но это вас не коснется, если сможете показать документы, которые захочет увидеть проверяющий, и будете знать ответы на самые актуальные вопросы по проверке. На уроке вместе разберем, какие документы потребует Роскомнадзор, а также ответим на вопросы, которые возникли у ваших коллег по персданным из-за коронавируса.
Какие документы по персданным спросит Роскомндзор
Если специалисты Роскомнадзора придут проверять, как вы работаете с персональными данными своих сотрудников, будьте готовы показать локалку и другие документы о персданных. Это не только поможет избежать штрафов, но и не даст запутаться при работе с информацией, которая относится к персональной. Разберем каждый документ.
Политика обработки персональных данных. Политика – не локальный акт, она распространяется не только на сотрудников, но и на клиентов, контрагентов компании. Название документа говорит за себя. Этот документ определяет направления работы компании по обработке и защите персональных данных.
Как составить документ о политике при работе с персданными, разъяснил Роскомнадзор. Чтобы документ работал на вас – не стоит копировать формулировки ведомства, ориентируйтесь на специфику вашей организации.
Важно не только разработать, но и опубликовать политику на сайте компании. Если его нет, то сделайте документ в бумажном виде доступным для всех заинтересованных лиц. Например, разместите в торговом зале, при входе в организацию. Если работодатель не разместил политику обработки персональных данных в открытом доступе, должностное лицо накажут на сумму до 6000 руб., организацию – до 30 000 руб.
Положение о персональных данных работников. В компании должен быть документ, который говорит, как хранить и использовать персональные данные сотрудников. Роскомнадзор проверит, утвердил ли работодатель положение о персональных данных.
Документ составляют в произвольной форме, но его содержание должно соответствовать закону. Поэтому, в положении прописывают состав персональных данных, порядок их обработки, передачи третьим лицам, права и обязанности работников при обработке персональных данных. Все сотрудники должны быть ознакомлены с положением под подпись.
Согласие на обработку персональных данных. По общему правилу брать согласие на обработку персданных – надо. Если его не взять, то за каждый случай компании грозит штраф до 75 000 руб. Представьте, если ошибку сделать в отношении хотя бы 15 сотрудников – компания потеряет миллионы. На ту же сумму могут оштрафовать, если в согласии нет необходимых реквизитов. Но вы – ответственный и внимательный кадровик, поэтому не подведете компанию под штраф. Не будет лишним вспомнить основные моменты в согласии на обработку персональных данных.
Письменное согласие сотрудника на обработку персданных требуется, в частности, если компания обрабатывает биометрические данные. Например, сотрудники проходят на территорию по пропускам с фотографией.
Есть еще случаи, кода согласие на обработку не нужно. Например, когда обработку пересданных и публикацию их в Интернете требует закон. Если согласие нужно, то не забудьте указать все обязательные реквизиты.
Чтобы получить дополнительную информацию о работнике, например, номер его мобильного телефона или адрес личной электронной почты, потребуется его согласие. Ведь и без подобных сведений стороны могут исполнять трудовой договор. Поэтому, чтобы исключить спорные ситуации, безопаснее получать у новых сотрудников письменное согласие на обработку данных и включать в него информацию, которую планируете обрабатывать.
Согласие на передачу персональных данных. Чтобы передать персональные данные, нужно получить отдельное согласие работника
В стандартном согласии об обработке персданных больше нельзя указывать, что сотрудник не возражает, чтобы его данные работодатель передавал третьим лицам. Для этого теперь нужно отдельное согласие. Более того, в нем должна быть графа, где сотрудник сможет отметить, какую информацию он согласен передавать и куда, а какую нет.
Например, сотрудник согласен, чтобы на сайте компании разместили его фотографию, имя и должность, но дату рождения хочет оставить в тайне. В таком случае в согласии на распространение напротив даты рождения он напишет «нет» или «не согласен». Если из согласия непонятно, разрешил ли сотрудник передавать сведения о нем, делать этого нельзя, ч. 4 ст. 10.1 Закона от 27.07.2006 № 152-ФЗ, далее — Закон о персданных.
Сотрудник вправе определить, какие данные о себе он не разрешает никому передавать. Но такой запрет не действует, если обязанность передавать информацию устанавливает закон, ч. 11, 15 ст. 10.1 Закона о персданных.
Независимо от решения сотрудника, вы должны передавать данные в ПФР, налоговую, военкомат и т. д. Еще одна ситуация — если данные о работнике запрашивают врачи или правоохранительные органы.
Если сотрудник обратился к вам с требованием прекратить распространять информацию, которую ранее он в согласии передавать разрешил, немедленно прекращайте. С этого момента его согласие на распространение больше не действует.
В требовании сотрудник напишет Ф. И. О., номер телефона, адрес электронной почты или почтовый адрес и укажет персданные, передавать которые он запрещает. В таком случае вы сможете продолжать их обрабатывать, но не распространять, ч. 12-13 ст. 10.1 Закона о персданных.Сотрудник вправе потребовать, чтобы обрабатывать его персданные прекратили не только вы, но и те, кому вы их уже передали, ч. 14 ст. 10.1 Закона о персданных. В таком случае объясните работнику, что направить требование третьим лицам он должен лично. Ваша обязанность — предоставить ему данные тех, кто получил от вас информацию о работнике.
А теперь давайте посмотрим, как выглядит такое согласие.
Теперь вы можете быть уверенными, что согласия на обработку и передачу персональных данных оформите правильно. Но чтобы не занимать свое время можете воспользоваться онлайн конструктором. С помощью него можете будет легче и быстрее составить согласия.
Приказ о назначении ответственного и доступе работников к персданным. Работодатель обязан назначить ответственного за организацию работы с персданными и утвердить перечень лиц, которых допустили к обработке персональных данных. Это сотрудники, которые работают с личными данными работников, клиентов. В приказе укажите, к каким данным имеет доступ конкретный работник.
Приказ о назначении ответственного и доступе работников к персданным. Работодатель обязан назначить ответственного за организацию работы с персданными и утвердить перечень лиц, которых допустили к обработке персональных данных. Это сотрудники, которые работают с личными данными работников, клиентов. В приказе укажите, к каким данным имеет доступ конкретный работник.
В должностные инструкции или трудовые договоры сотрудников, допущенных к работе с личными данными, включите информацию о том, что они обрабатывают эти данные без использования средств автоматизации.
Часто ответственным за обработку персональных данных назначают кадровика, бухгалтера, секретаря. Логика компании – сотрудник работает с документами, значит, может отвечать и за персональные данные. Однако возлагать такие функции закон разрешает не на любого сотрудника. Есть критерии, которые нужно соблюдать.
Сотрудник должен быть компетентен, напрямую подчиняться гендиректору и быть готовым организовывать обработку данных масштабе организации. Поэтому в большинстве случаев назначить кадровика будет ошибкой. Это допустимо только в маленькой компании.
Безопаснее сделать ответственным за персданные директора по информационной безопасности или по персоналу.
Обязательство о неразглашении персданных. Получите у сотрудников, которых допустили к обработке персональных данных, обязательство о неразглашении. Только в этом случае вы сможете наказать их, если произойдет утечка личных данных. Обязательство составьте в двух экземплярах. Один остается в компании, другой отдайте сотруднику.
Разрешили сделать персональные данные общедоступными
Чиновники разрешили получать у сотрудников общедоступные персональные данные с 1 марта. От обычных персданных они отличаются тем, что для них не требуется соблюдать конфиденциальность. Это личная информация, к которой человек согласился дать доступ неограниченному кругу лиц. Тем компаниям, которые публикуют фото работников на официальных сайтах, станет проще работать. Отозвать согласие насчет общедоступных данных работник сможет в любой момент (Закон от 30.12.2020 № 519ФЗ «О внесении изменений в Закон „О персональных данных“»).
Приказ о перечне мест хранения персональных данных. При проверке инспектор Роскомнадзора запросит приказ, которым утвердили места хранения материальных носителей персональных данных. Во всех кабинетах, где обрабатываете персданные на бумаге, определите места хранения – сейфы или запираемые шкафы. Местом хранения может быть и само помещение, например, архив организации.
Уведомляйте Роскомнадзор об обработке персональных данных
Проверьте на портале персональных данных pd.rkn.gov.ru, есть ли организация в реестре. Если нет — направьте уведомление о том, что начали обрабатывать персданные. Не ждите письма от Роскомнадзора. В случае, если компания в реестре есть, проверьте, актуальны ли сведения. Их нужно обновлять.
С одной стороны, в законе сказано, что если вы обрабатываете персданные сотрудников исключительно в целях трудового законодательства, уведомлять Роскомнадзор о том, что компания начала обрабатывать данные, не нужно, п. 1 ч. 2 ст. 22 Федерального закона от 27.07.2006 N 152-ФЗ о персональных данных, далее — Закон о персданных. Но в законе речь лишь о трудовом законодательстве. Значит, обработка персданных в целях налогового законодательства, а также бухгалтерского и воинского учета требует, чтобы вы направили уведомление. Поэтому отчеты в налоговую и военкомат уже заставляют вас сообщить об обработке персданных.
Чтобы заполнить уведомление, обратитесь к другим специалистам и службам вашей компании. Дело в том, что уведомление касается компании в целом, а не только обработки персданных сотрудников. Поэтому нужно выяснить, как работаете с данными тех, кто не в штате, например клиентов и посетителей. Также уточните, какие применяете способы и методы защиты информации. Если в организации есть отдел информационной безопасности, обязательно посоветуйтесь с его руководителем, чтобы правильно заполнить уведомление. Составьте уведомление с помощью образца.
Проверьте, как компания работает с персданными в период пандемии
Мы собрали популярные вопросы кадровиков о работе с персональными данными в период пандемии и подготовили на них ответы. Вам останется сверить свою работу с ответами.
Надо ли получать согласия работников на обработку данных об их здоровье? На самом деле данные о температуре тела работника – это информация, которую можно назвать персональной. Однако Роспотребнадзор разрешил в условиях пандемии не брать у работника согласие на обработку сведений о его температуре.
Ведомство пояснило, что в данном случае работодатель обрабатывает сведения о температуре для того, чтобы определить возможность выполнять трудовую функцию. А значит, согласно ст.10 Закона о персональных данных, получать согласие не надо.
Роскомнадзор разъяснил, что, хотя согласий работников получать не нужно, персонал необходимо уведомить о проведении измерений температуры. Для этого достаточно разместить на входе в организацию соответствующее объявление.
Можно ли проводить опросники среди работников об их здоровье и контактах с носителями COVID-19? Да, можно, если соблюсти два момента. Первый – компания собирает данные исключительно для целей внутреннего использования и не передает их третьим лицам. Второй – компания собирает только те данные, которые требуются по закону. Если выполнить эти два требования, то не придется брать согласие на обработку персональных данных.
Пример
В Москве работники обязаны информировать работодателя о сахарном диабете, ожирении, гипертонической болезни II степени, хронической обструктивной болезни легких, бронхиальной астме II степени, беременности. Кроме того, нужно сообщать о симптомах острой респираторной вирусной инфекции, установленном диагнозе острого респираторного вирусного заболевания, коронавируса, пневмонии у самого работника или у лиц, совместно проживающих с ним. Сотрудников с соответствующими диагнозами и состояниями нельзя допускать на рабочие места (приложение 6 к указу мэра Москвы от 05.03. 2020 № 12-УМ в ред. указа мэра Москвы от 27.05.2020 № 61-УМ).
Если учесть данное предписание, московские работодатели могут собирать у сотрудников информацию о диагнозах и состояниях без дополнительного согласия на обработку.
Если эти два требования, которые мы с вами разобрали выше – не выполняются, то брать согласие у сотрудников придется.
Надо ли отчитываться в Роскомнадзор о мероприятиях, которые проводите для защиты работников от коронавируса? Каких-либо специальных уведомлений, связанных с коронавирусом, подавать в Роскомнадзор не нужно. Однако проверьте, подавала ли вообще компания уведомление об обработке персональных данных в Роскомнадзор в соответствии с ФЗ №152. Если нет, это нужно сделать.
Если же организация подавала уведомление, то нужно проверить, отражена ли в нем обработка данных в рамках соблюдения мер по предупреждению коронавирусной инфекции. Требование будет выполнено, если в уведомлении есть общая фраза о том, что компания обрабатывает данные о здоровье работников, а также если в уведомлении среди целей обработки данных указано соблюдение законодательства.
На уроке разобрали полный перечень документов, который должен быть в компании по мнению Роскомнадзора, а также ответили на популярные вопросы. Если ваша практика не соответствует требованиям Роскомнадзора, то успейте исправить до того, как ведомство придет с проверкой.
Самое важное
Собрать согласие на обработку персональных данных будет не достаточно, чтобы избежать штрафа. Для этого надо внести все обязательные реквизиты в согласие.
Узнать о том, есть ли ваша компания в плане проверок, можно на сайте Генпрокуратуры или Роскомнадзора.
Брать согласие на обработку сведений о температуре не надо в период пандемии.
документах
1 урок
2 урок
3 урок
2 УРОК ИЗ 3
Как сделать ПВТР рабочим документом
Автор: Наталья Агуреева, руководитель направления «Охрана труда и трудовые отношения» НОЧУ ДПО «МОСДОР», Советник государственной гражданской службы РФ 1 класса
Первый курс программы — про то, что проверить в вашей локалке и как составить новые документы, которые теперь обязательны. В начале —обязательный для каждой компании локальный акт — ПВТР. На уроке разберетесь, что проверить и поправить в ПВТР, чтобы получить работающий документ, который оценит инспектор, а сотрудники будут соблюдать.