Хранение персональных данных

Содержание

Хранение персональных данных: закон 2020, нюансы, рекомендации

Из этого материала вы узнаете:

  • Что такое персональные данные
  • Что указано в законе о хранении персональных данных
  • Каковы плюсы и минусы хранения персональных данных в электронном виде
  • В чём особенности хранения персональных данных работников в организации в электронном и бумажном носителе в 2020 году

Хранение персональных данных — задача не сложная, однако требующая от исполнителя четкого соблюдения всех правил и норм. К тому же, если их нарушить, можно получить крупный штраф. Законодательство РФ регулирует отношения в области хранения и обработки личных данных человека. Следовать данным нормам и правилам важно, вдобавок необходимо постоянно актуализировать эту информацию. Законы часто подвергаются изменениям, а также в них регулярно вносятся поправки. Из нашей статьи вы сможете узнать всю необходимую информацию относительно хранения и обработки личных данных человека.

Что такое персональные данные

Персональные данные, они же личные данные (далее по тексту ПД и ЛД), — информация, которая непосредственно связана с конкретным человеком.

Нашу жизнь уже невозможно представить без автоматизированных систем управления. Данные физических лиц постоянно попадают в различные базы и часто из них плавно утекают.

Чтобы защитить данную информацию физического лица, был создан федеральный закон, регулирующий порядок хранения и использования персональных данных.

Такое понятие, как персональные данные, — прежде всего юридический термин, нежели технический.

Как следствие, стала проще процедура защиты и снизились риски проникновения в личные данные сторонних лиц.

На сегодняшний день обработкой данных физлиц занимаются:

  • Банки.
  • Работодатели.
  • Органы государственной власти.
  • Другие организации, работа которых налагает обязанности по сбору и хранению персональных данных человека.

Работа с данной информацией обязательно должна быть организована с учетом всех норм и правил независимо от задач, требующих использования данной информации.

Среднестатистический человек чаще всего предоставляет свои личные данные для обработки в банковские учреждения. И в случае если становятся очевидны нарушения его прав, выход из положения — только судебные разбирательства. Одно неверное действие может привести к фатальным последствиям.

Рекомендуем

«Аутсорсинг персонала: виды, плюсы и минусы»

Желательно перед посещением учреждений, требующих предоставления личной информации — изучить нормативные акты, регулирующие обработку личных данных. Это даст вам возможность самостоятельно проконтролировать свои права в полном объеме.

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» в ст. 3 дает определение персональным данным. Исходя из него ПД — любая информация, которая прямо или косвенно относится к субъекту ПД — определенному или определяемому физлицу (дальше по тексту — закон о персональных данных).

К общим личным данным относятся такие сведения, как:

  • ФИО;
  • место и дата рождения;
  • адрес места жительства (регистрации);
  • профессия, уровень образования;
  • фото человека (видеозаписи), которые позволяют установить личность и с этим умыслом использоваться оператором (разъяснения Роскомнадзора от 30.08.2013 года «О вопросах отнесения фотографий, видеозаписей, дактилоскопических данных и других сведений к биометрическим личным данным и особенностей их обработки»);
  • наличие детей, семейное положение, ближайшие родственники;
  • предыдущие места работы, армейская служба, работа на выборных должностях, государственная служба, наличие судимости и другие факты из биографии;
  • информация об уровне заработной платы тоже относится к личным данным (письмо Роскомнадзора от 07.02.2014 № 08КМ-3681);
  • оценка личностных качеств человека, его навыки в работе и др.;
  • иные сведения, идентифицирующие человека.

Помимо данной информации, в законе о персональных данных упоминаются:

  • индивидуальные личные данные (раса, национальная принадлежность, политические взгляды, религиозные или философские убеждения, состояние здоровья, интимная жизнь). Обработка таких данных запрещена. Исключением могут стать ситуации, предусмотренные ч. 2 ст. 10 закона о персональных данных;
  • биометрические личные данные (к ним относятся физиологические и биологические качества человека, идентифицирующие его личность). Чтобы обработать такую информацию, нужно получить согласие носителя личных данных. Исключением могут стать случаи, предусмотренные ч. 2 ст. 11 закона о персональных данных.

Закон о хранении персональных данных

Гражданин Российской Федерации имеет полное право призвать к соблюдению ФЗ о защите личных данных любую организацию. Эти сведения являются личными, и поэтому без разрешения физического лица их обработка недопустима. Только государственным органам разрешается не получать у физических лиц письменное согласие на хранение их персональных данных. В остальных случаях нарушение карается строго по закону.

Каждый год в ФЗ о персональных данных вносятся поправки. Работа с личными данными имеет много особенностей, в связи с этим важно заранее разобраться во всех тонкостях, дабы не допустить банальных ошибок.

Рекомендуемые статьи по данной теме:

  • Хобби как бизнес: +30 идей для запуска
  • Пример предложения о сотрудничестве: просто следуйте инструкциям!
  • Ключевые факторы успеха: будем умнее, чем Буратино

Данный момент по возможности нужно будет заранее разобрать: только так можно не допустить стандартных ошибок. Процесс этот имеет множество различных нюансов, тонкостей. Несоблюдение закона для юрлиц карается штрафом в несколько сотен тысяч рублей. Штрафы также налагаются и на должностных лиц — здесь размеры выплат начинаются от нескольких тысяч рублей.

Статья 87. Хранение и использование персональных данных работников:

  1. Ст. 5 федерального закона «О персональных данных» требует осуществлять хранение личной информации о человеке в форме, позволяющей идентифицировать субъекта личных данных. А также хранить данные столько времени, сколько необходимо для их обработки. После решения всех поставленных задач, для которых собиралась данная информация, ее нужно ликвидировать.

    Согласно ст. 6 федерального закона «О персональных данных» при передаче личных данных человека для обработки другому уполномоченному на это лицу важно прописать в договоре обязательства, которые обязуют указанное лицо обеспечить конфиденциальность и полную безопасность личных данных во время всех манипуляций.

  2. В Едином квалификационном справочнике должностей руководителей, специалистов и других служащих, утвержденном постановлением Минтруда России от 21 августа 1998 г. N 37*(116), в графе должностных обязанностей некоторых руководителей, а также специалистов можно увидеть информацию о том, что осуществление их трудовых функций основано на использовании личных данных работников.

На кого распространяется действие федерального закона «О персональных данных»?

Показатели

Описание

Физические лица

Их личные данные подвергаются обработке

Юридические лица или другие субъекты права

Они осуществляют сбор, обработку и хранение данных

В каждом договоре, где указываются ФИО человека, в обязательном порядке должен присутствовать раздел об обработке личных данных. Без письменного разрешения гражданина работать лично, а также передавать данные для обработки другим лицам запрещено.

Этим правилам необходимо следовать при работе с такими видами договоров, как:

  • кредитный;
  • трудовой;
  • о возмездном оказании услуг и др.

При работе со всеми видами договоров, указанных выше, необходимо брать у человека письменное согласие на обработку его личной информации. Подобное правонарушение влечет за собой юридическую ответственность. Именно поэтому важно своевременно знакомиться со всеми изменениями законодательства, связанного со сбором, обработкой, хранением личных данных человека.

При отказе заемщика возвращать полученную сумму кредита в срок и в порядке, предусмотренном кредитным договором, банки, как правило, передают задолженность клиента коллекторским агентствам. Это явное правонарушение с их стороны.

В такой ситуации гражданин вправе обратиться в ЦБ РФ, ведь именно там осуществляется контроль над работой банков. Дальнейшие шаги заемщика ведут в суд. Если опыта в составлении исков нет (а это нелегкая задача), лучше обратиться к специалистам. К тому же цена за подобную услугу у юристов небольшая. Помимо составления иска, специалист поможет собрать весь комплект документов, необходимых для судебных разбирательств.

Здесь главное не попасть в руки авантюристам, которых в данной области предостаточно. Перед подписанием договора на оказание юридических услуг важно его тщательно изучить.

Как уже говорилось ранее, законодательство в сфере защиты личных данных часто подвергается поправкам. Так, например, 01.07.2020 вступили в силу значительные изменения — в первую очередь нужно ознакомиться с ними, а потом уже подписывать договоры с юристами. Только в этом случае можно избежать ошибок.

Важно подчеркнуть: допущение ошибок вполне может послужить причиной признания договора целиком и полностью недействительным. Исходя из этого, важно заблаговременно разобраться во всех нормативно-правовых актах в данной сфере.

Все подробности относительно личных данных человека отражены в федеральном законе «О персональных данных». Хорошая осведомленность в области нормативных актов даст возможность самостоятельно разобраться во всех нюансах, а значит, риск допущения ошибок будет минимальным.

Вот основные моменты, которые важно тщательно проработать перед заключением каких-либо договоров:

  • специфика обработки личных данных;
  • существенные ошибки;
  • новые штрафные санкции;
  • основные моменты;
  • какими нормами законодательства регулируется.

Что значит обработка персональных данных

Согласно ст. 3 закона о персональных данных обработка личных данных — совокупность действий, связанных с личными данными. Операции могут совершаться с применением средств автоматизации или без них. Любая деятельность с использованием ПД охватывает все процессы и стадии работы с ними, а это: сбор, систематизация, запись, хранение, накопление, конкретизация (изменение, обновление), извлечение, применение, делегирование (распространение, предоставление, доступ), блокирование, обезличивание, ликвидация данных.

Работодатели, согласно закону о персональных данных, обязаны соблюдать требования к хранению персональных данных. Чтобы исключить все случаи, которые могут привести к судебным разбирательствам, следует получать от каждого претендента на должность письменное согласие на обработку его данных.

Законом предусмотрены некоторые случаи, при которых письменная форма согласия обязательна к применению (часть 4 ст. 9 закона о ПД). Это относится к таким ситуациям:

1) При передаче личных данных соискателя от третьей стороны (п. 3 ст. 86 Трудового кодекса РФ). В такой ситуации работника необходимо заблаговременно предупредить об этом и взять с него письменное согласие на обработку и хранение информации (п. 3 ст. 86 Трудового кодекса РФ).

В бланке, где соискатель дает свое согласие, нужно указать (п. 3 ст. 86 Трудового кодекса РФ):

  • цель получения личных данных соискателя у третьих лиц;
  • предполагаемые ресурсы приобретения информации (лица, у которых запрашиваются данные);
  • методы получения данных, их основные особенности;
  • вероятные последствия отказа работодателя в получении личных данных соискателя у третьего лица. При отказе работника изучить уведомление о возможном получении его личных данных у другого лица разумным будет составить соответствующий акт.

Если соискатель решил отозвать согласие на обработку своих личных данных, он имеет на это полное право (часть 2 ст. 9 закона о персональных данных).

Существует и такая информация, которую работодателям запрещено требовать у третьих лиц, даже если соискатель дает согласие. Та, что не связана с перечисленными в пункте 1 статьи 86 Трудового кодекса РФ задачами.

2) При передаче личных данных соискателя третьим лицам, кроме ситуаций, когда это нужно для предотвращения угрозы жизни и здоровью работника (абзац 2 статьи 88 Трудового кодекса Российской Федерации).

3) Для обработки отдельных категорий личных данных работника, напрямую связанных с вопросами трудового характера (п. 4 ст. 86 Трудового кодекса РФ, п. 1 ч. 2 ст. 10 закона о персональных данных). К ним можно причислить информацию о расе, национальности, религии, политических взглядах, философских убеждениях, показателях здоровья, интимных отношениях.

В том случае, если работник признан недееспособным, письменное разрешение на обработку его данных дает его законный представитель (опекун, родитель) (ч. 6 ст. 9 закона о персональных данных). А в случае ухода из жизни работника такое согласие оформляют его наследники, если, конечно, оно не было подписано самим работником при его жизни (ч. 7 ст. 9 закона о персональных данных).

Не при всех обстоятельствах требуется разрешение работника на обработку его личных данных. Так, если данные получены (п. 2 ч. 1 ст. 6, п. 2.3 ч. 2 ст. 10 закона о персональных данных, абзац 1 разъяснений Роскомнадзора):

  • из документов (материалов), предоставляемых работником при оформлении трудового договора;
  • по результатам обязательного предварительного медосмотра состояния здоровья (ст. 69 Трудового кодекса РФ, п. 3 разъяснений Роскомнадзора от 14 декабря 2012 года «Вопросы, которые касаются обработки личных данных работников, соискателей на замещение вакантных должностей, а также лиц, состоящих в кадровом резерве», далее — разъяснения Роскомнадзора от 14.12.2012);
  • в количестве, установленном специальной формой № Т-2, включая личные данные близких родственников, и в других случаях, предусмотренных законодательством РФ (взыскание алиментов, получение доступа к гостайне, оформление соцвыплат) (пункт 2 разъяснений Роскомнадзора от 14.12.2012);
  • от рекрутингового агентства, работающего от имени соискателя (абзац 12 п. 5 разъяснений Роскомнадзора от 14.12.2012);
  • от лица самого человека, который выложил свою анкету в Интернете во время поиска работы, сделав ее доступной всем (пункт 10 часть 1 статьи 6 федерального закона от 27.07.2006 № 152-ФЗ, абзац 12 пункт 5 разъяснений Роскомнадзора от 14.12.2012);

то работодатель с разрешения соискателя может передать на обработку его личные данные другому лицу (часть 3 статьи 6 закона о ПД, абзац 2 пункт 5 разъяснений Роскомнадзора от 14.12.2012). Несмотря на это, работодатель все равно остается ответственным перед соискателем за действия третьего лица (часть 5 статьи 6 закона о ПД).

Плюсы и минусы хранения персональных данных в электронном виде

В электронном виде информация с личными данными хранится при помощи информационных систем и специально предназначенных для этого баз.

Плюсы хранения сведений о человеке в электронном виде:

  • не нужны дополнительные ресурсы;
  • не расходуется место и пространство;
  • быстро и комфортно работать с личными данными;
  • высокая защищенность от несанкционированного проникновения;
  • можно хранить сколько угодно времени;
  • нет необходимости в архивации.

Минусы хранения данных на электронном носителе:

  • нужно создавать резервные копии баз данных работников;
  • немалая стоимость программ и оборудования;
  • требуется управление информационными системами;
  • необходима высочайшая квалификация сотрудника, который будет работать с личными данными.

Чтобы обезопасить личные данные, хранящиеся в электронном виде, можно применять такие способы, как:

  • внедрение разрешительной системы доступа сотрудников к закрытой информации;
  • запрещение доступа сотрудников в помещения, где расположены технические средства, применяемые для обработки личных данных;
  • отлаженная система организации хранения и учета информационных носителей и т. д.

Хранение персональных данных работников в организации на электронном и бумажном носителе в 2020 году

Каждое устройство на работу подразумевает под собой передачу и хранение персональных данных работника работодателю. На первом этапе оформления трудовых отношений передаются такие данные, как фамилия, имя, отчество, дата рождения, адрес постоянного места жительства, гражданство, наличие семьи и детей, образование и т. д.

Если сотрудник продолжает работу на том же предприятии, его личное дело пополняется разнообразными документами: приказами о трудоустройстве, трудовым соглашением, первоначальными документами по зарплате, актами о премировании и другими. Где и каким образом предприятие хранит личные данные сотрудников?

1. Где разрешается хранить?

Места хранения персональных данных работника находятся в прямой зависимости от их формы. Существует 2 варианта хранения данных человека:

  • в бумажном виде;
  • в электронном виде.

Когда мы имеем дело с ответственным работодателем, то у него обычно дублируется информация. Данные хранятся в бумажном виде и в электронном. В обоих случаях данные обычно находятся у работодателя в кадровом отделе или же в бухгалтерии. Они закрываются ключом в пожароустойчивых сейфах. Ключ хранится у начальника кадрового отдела или главного бухгалтера.

Данные по сотрудникам, которые уже не работают на предприятии, чаще всего передаются в архив. Это отдельная комната для хранения информации. Там документы располагаются в алфавитном порядке, с указанием даты помещения в архив и даты окончания хранения. По истечении указанного времени данные подлежат уничтожению.

«Персонализированный поиск: что такое и для чего он нужен»

Сведения, находящиеся в электронном виде, хранят в локальной компьютерной сети.

Важно: данный формат электронных документов нуждается в обеспечении надежной системой безопасности в виде паролей, доступ к которым должен быть у ответственных сотрудников. Чтобы не утратить всю информацию в случае сбоя или потери главной базы, формируют резервную копию для архива. Ее располагают на съемном электронном носителе информации.

2. Общие правила

Следовать правилам хранения персональных данных крайне важно, иначе халатное отношение к делу со стороны руководства может повлечь за собой нарушение конституционного права человека на конфиденциальность личных данных. Статья 87 Трудового кодекса РФ гласит, что порядок хранения персональных данных сотрудника должен быть подготовлен и утвержден самим работодателем.

Причем он должен учесть все требования, которые отражены в Трудовом кодексе и иных федеральных законах. В приказе Минкультуры от 25 августа 2010 года № 558 указаны основные сроки хранения сведений о работниках, которые образуются в процессе деятельности предприятия.

Рассмотрим сроки более подробно:

  • Докладные и служебные записки, справки, приказы и их копии, а также выписки из приказов, заявления, которые не вошли в личные дела, хранятся в течение 5 лет.
  • Расчетно-платежные ведомости, расчетные листки по зарплате, а также информация о предоставленных пособиях, гонорарах, материальной помощи сотрудникам хранятся 5 лет, а если в документах отсутствуют лицевые счета — 75 лет.
  • Доверенности на получение денег и ТМЦ, в том числе расторгнутые доверенности на получение зарплаты и иных выплат. Данный вид сведений хранится в течение 5 лет.
  • Личные листки по учету кадров, анкеты для приема на работу, заявления, автобиографии, письма-рекомендации соискателей, которых не трудоустроили в организацию, хранят 3 года.
  • Письма о переводах сотрудников. Данный вид информации хранится 3 года.
  • Удостоверения для командировок хранят 5 лет.

3. Подробное руководство по применению задокументированной информации

  • Организовывать правильный подход к работе с личными данными человека, а также их хранение в бумажном формате необходимо на основании законов РФ: ст. 24 Конституции, гл. 14 Трудового кодекса РФ, ФЗ РФ от 27 июля 2006 года № 152 «О персональных данных», приказе Минкультуры РФ от 2010 года № 558, статьи 137 Уголовного кодекса РФ и др.
  • Для отделения личных данных от другой информации рекомендуется составлять подробный список-памятку сведений, которые можно отнести к личным данным.
  • Во время работы с личными данными сотрудников важно соблюдать следующие правила:
  • Использовать информацию следует только в целях обеспечения трудовых отношений с учетом требований действующего трудового законодательства.
  • Все сведения нужно запрашивать именно у их носителя.
  • В ситуации, когда запрос документов все-таки нужно осуществить из иных источников, крайне важно получить письменное разрешение сотрудника на обработку.
  • Работодателю запрещено запрашивать данные об интимной жизни своих сотрудников, их религии, участии в политических партиях, профсоюзах без разрешения работника, если иное не предусмотрено законодательством.
  • Не разрешается передавать эти сведения третьим лицам. Работникам выдается исключительно та информация, которая нужна, чтобы выполнить порученное им задание.
  • Некоторые документы хранятся в оригинальном виде: трудовой договор, трудовая книжка, допсоглашения, разнообразные приказы руководства сотруднику и др. Еще часть документов сотрудник предоставляет только для изучения или снятия копии. К ним относятся свидетельства о рождении детей, свидетельство о заключении брака, документ, удостоверяющий личность, и др.
  • Документы отдела кадров, связанные с личным делом, складываются в отдельную папку сотрудника. Папки распределяются по подразделениям компании и складываются в алфавитном порядке. Документы отдела бухгалтерии можно обрабатывать и хранить без привязки к сотруднику. Организовывать хранение такого рода документов необходимо согласно функциональным назначениям. К примеру:
  • расчетные листки по зарплате складываются в папку для расчетов оплаты труда;
  • командировочные документы — в папке для оплаты дополнительных мероприятий.
  • Папки со всеми документами помещают в сейф, доступ к которому должен быть предоставлен исключительно руководству организации, начальнику кадрового отдела, главному бухгалтеру.
  • Отдел кадров несет ответственность за инструктаж касательно порядка применения, обращения и хранения данных. Точно так же решается вопрос относительно хранения разрешения на обработку данных работника.

4. Хранение информации на электронных носителях

  • Любые действия, относящиеся к обработке и хранению личной информации сотрудника на электронном носителе, должны формироваться на указаниях актов законодательства, перечисленных выше.
  • По аналогии с бумажными носителями для электронных необходимо обозначать сведения, которые относятся к личным данным. Сюда относится такая информация, как личный адрес электронной почты работника, аккаунт (учетная запись, профиль) в соцсетях и т. д.
  • Все принятые документы, которые содержат личную информацию сотрудника, сканируются и отправляются в его электронное личное дело.
  • Допуск к базе данных в электронном формате должен быть предоставлен только руководителям организации, их заместителям, сотрудникам кадрового отдела и бухгалтерии, а также программистам.
  • Тем, кому разрешен доступ к электронной базе, предоставляется личный логин и пароль. В этом случае программа сможет автоматически запомнить сотрудника, вносившего какие-либо изменения в личные данные.
  • Обязательно нужно создавать, хранить и обновлять резервную копию базы данных на съемном носителе. Освежать эту информацию следует 1 и 15 числа каждого месяца. В случае если указанные даты выпадают на праздничный или выходной день, все манипуляции переносятся на следующий рабочий.

Личные данные человека часто подвергаются мошенническим действиям. По этой причине законодательно установлены основные правила защиты данной информации. Помимо этого, закон подробно описывает ответственность за нарушения в сфере обработки и хранения ПД. Вместе с тем важно отметить, что законы РФ в данном направлении еще сыроваты. Связано это с тем, что основная часть правил устанавливается на уровне локальных нормативных актов.

Система защиты при хранении персональных данных

Каким образом уберечь личные сведения человека? Федеральным законом № 152 установлены определенные меры по организации защиты личных данных человека:

  • меры, установленные законом, — государство обязует уполномоченного сотрудника, занимающегося обработкой информации, производить определенные манипуляции, одновременно запрещая некоторые из них;
  • технические — уполномоченный сотрудник предпринимает ряд мер, которые значительно усложняют проникновение иных лиц к личным данным о человеке.

Есть много методов хранения персональных данных о сотрудниках. К ним относятся замена цифровых данных, сокращение информации, распределение ее на хранение в нескольких местах.

Срок хранения персональных данных

Положение о хранении персональных данных устанавливает среди всех видов обработки персональных данных следующий порядок — ПД не должны храниться больше времени, чем потребуется для операции с информацией.

Вместе с тем период хранения данной информации в некоторых случаях закрепляется ФЗ России с помощью договора с субъектом, владеющим персональными данными. Оператор устанавливает конкретные временные рамки или вписывает условие для прекращения хранения и переработки персональных данных.

«Делегирование полномочий без досадных ошибок»

Закон «О персональных данных» правительства РФ (ст. 14) сообщает о временных сроках обработки ПД, относящихся к тем видам сведений, которые оператор в обязательном порядке предоставляет субъекту при соответствующем запросе последнего.

Штрафы за нарушение хранения персональных данных

Существует три типа ответственности, предусмотренной законодательством РФ:

  • гражданско-правовая закрепляется в соглашении или договоре, которые человек заключает с оператором персональных данных, и носит главным образом денежный характер;
  • административная ответственность устанавливается Кодексом об административных правонарушениях Российской Федерации и сопровождается предупреждением, штрафными санкциями;
  • уголовная ответственность возникает при тяжких нарушениях законодательства. Чаще всего к виновнику предъявляются или штрафные санкции, или уголовная статья, предусматривающая ограничение свободы.

Штрафы, предусмотренные за несоблюдение законодательства о персональных данных:

Показатели

Описание

По Кодексу об административных правонарушениях РФ

  • для граждан — в размере до 500 рублей;
  • для должностных лиц — от 500 до 1 тыс. рублей;
  • для юридических лиц — до 30 тыс. рублей.

Согласно ст. № 137 Уголовного кодекса РФ

  • в размере 200 тыс. рублей либо доход за период длительностью 18 месяцев — для физических лиц;
  • принудительные работы;
  • арест.

Закон «О персональных данных» — что нужно знать агентству

Многие агентства интересуются: что с этим законом делать? На что он влияет? Дело в том, что иностранные заказчики и представители иностранных компаний в России стали чаще спрашивать:

«Обеспечиваете ли вы защиту персональных данных, собираемых во время наших рекламных кампаний и поддержки сайта?».

Закон о локализации баз персональных данных на территории РФ, тесно связанный с законом «О персональных данных» и вступивший в силу 1 сентября 2015 года, сильно их напугал.

Эта статья отвечает на вопросы:

  • Что регулирует закон № 152-ФЗ «О персональных данных»?
  • Кто попадает под действие закона?
  • Какие основные требования закона № 152-ФЗ?
  • Какие существуют основные риски за невыполнение закона для организаций и должностных лиц?
  • Как лучше выполнить требования закона и показать это заказчикам?

Что регулирует закон № 152-ФЗ «О персональных данных»?

Закон регулирует все вопросы, связанные с обработкой (получением, хранением, передачей, удалением и т. д.) персональных данных физических лиц индивидуальными предпринимателями, юридическими лицами и бюджетными организациями. Организации и предприниматели обязаны правильно обрабатывать и защищать эти данные.

МегаФон Таргет – получите промокод бесплатно и запустите свою первую кампанию!

Таргетированные SMS-рассылки с множеством фильтров для определения ЦА. Стоимость от 1,7 руб. за сообщение, CTR доходит до 45%!

Получите промокод на 1000 SMS на вашу первую кампанию прямо сейчас! Cossa рекомендует.

Реклама

Персональные данные — это любая информация, относящаяся к физическому лицу. Даже связка имени и адреса электронной почты уже относится к персональным данным.

В агентствах обрабатываются, как минимум, персональные данные:

  • Сотрудников;
  • Близких родственников сотрудников;
  • Кандидатов на вакантную должность;
  • Клиентов.

Какие бывают персональные данные?

Специальные персональные данные: касаются расовой и национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни.

Биометрические персональные данные: характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность.

Общедоступные персональные данные: сделанные физическим лицом общедоступными или содержащиеся в специальных справочниках.

Иные персональные данные: все, что не попало ни в одну из вышеуказанных категорий.

К обработке специальных и биометрических персональных данных предусмотрены особые требования.

Кто попадает под действие закона?

Все предприниматели, физические и юридические лица, бюджетные организации, обрабатывающие персональные данные физических лиц. Их называют операторами персональных данных.

В первую очередь закон касается компаний, работающих в следующих сферах:

  • Реклама и диджитал;
  • Финансы и кредитование;
  • Медицина и фармокология;
  • Телекоммуникации;
  • Образование;
  • Офлайн- и онлайн-ритейл;
  • Гостиничное дело;
  • Бюджетные организации.

Эти компании чаще всего работают с персональными данными. Поэтому главный регулятор в этой сфере — Роскомнадзор — внимательно за ними следит.

Примеры обработки персональных данных в диджитал

В первую очередь, следят за видами обработки персональных данных, которые используются:

  • Для трудоустройства сотрудников и оформления им ДМС;
  • Для выдачи карт лояльности;
  • Для рекламных и новостных рассылок;
  • Для оказания услуг;
  • Для регистрации на сайтах и информационных системах;
  • Для звонков потенциальным клиентам.

Основные требования законодательства в области персональных данных

Разделим все требования для простоты на 4 группы. Работая с персональными данными, вы должны:

1. Подготовить пакет организационно-распорядительной документации.
2. Привести процессы работы с персональными данными в соответствие с законом.
3. Реализовать техническую защиту персональных данных в информационных системах.
4. Хранить базы с персональными данными на территории Российской Федерации.

Требования по подготовке внутренних организационно-распорядительных документов

Закон в ст. 18.1 требует от операторов персональных данных иметь локальные акты и политику, регламентирующую обработку и защиту персональных данных. Точного перечня необходимых документов не предлагается.

При этом Роскомнадзор во время проверок компаний запрашивает перечень необходимых документов и сведений, которые на практике ему передают в виде копий внутренних документов.

Поскольку точного перечня документов не существует, каждый оператор персональных данных составляет их по своему усмотрению на основании текста закона и подзаконных актов.

вы найдете полный перечень необходимых документов, которых достаточно для соответствия требованиям.

Требования по приведению процессов работы с персональными данными в соответствие с законом

Персональные данные необходимо правильно собирать, обрабатывать и передавать.

Со всеми физическими лицами, у которых вы собираете персональные данные (например, через сайт клиента), должен быть заключен договор или взято согласие на их обработку.

С каждым контрагентом, которому вы передаете, предоставляете в доступ (например, другому агентству на субподряд) или от которого получаете персональные данные, необходимо заключить соглашение о поручении на их обработку.

Все сотрудники должны под роспись ознакомиться с внутренними документами организации по обработке и защите персональных данных и подписать обязательство о неразглашении.

В Роскомнадзор должно быть подано уведомление об обработке персональных данных.

Требования по технической защите персональных данных в информационных системах

Если персональные данные хранятся или как-то иначе обрабатываются в информационных системах (например, в «1С: Бухгалтерии», в базе данных сайта, CRM и других), нужно определить уровень их технической защищенности, составив соответствующий акт.

Затем нужно разработать модель угроз и на основании Постановления Правительства № 1119 и Приказа ФСТЭК России № 21 составить техническое задание на систему защиты персональных данных.

После этого разрабатывается и внедряется проект системы защиты. Внедрением может заняться сама компания или подрядчик, имеющий определенную лицензию ФСТЭК России.

Данное требование, по нашим данным, выполнили лишь 1% операторов. Во-первых, антивирус дорого стоит (закон говорит применять не просто антивирус, а сертифицированный ФСТЭК, при этом функционально они не отличаются, а по деньгам в 1.5–3 раза). Во-вторых, данное требование проверяется ФСТЭК и ФСБ России у малого и среднего бизнеса очень, очень, очень редко. Риск проверки крайне мал.

Требования по хранению баз персональных данных на территории Российской Федерации

С 1 сентября 2015 года сбор и хранение персональных данных граждан Российской Федерации может происходить только на территории Российской Федерации.

О месторасположении баз данных необходимо уведомить Роскомнадзор.

Особенно это касается иностранных и российских компаний, чьи информационные системы полностью или частично располагаются за пределами РФ.

Роскомнадзор дал операторам срок до конца февраля 2016 года, чтобы выполнить эти требования.

Кем проверяется выполнение требований закона?

Главный контролирующий орган: Роскомнадзор. Проверяет правильность обработки персональных данных и документы по персональным данным.

ФСТЭК России. Проверяет выполнение требований по технической защите.

ФСБ России. Проверяет выполнение требований по применению криптографии при обработке персональных данных.

Роскомнадзор проводит более 7000 плановых и внеплановых проверок в год, тогда как ФСТЭК и ФСБ — не более сотни проверок госсектора.

Если у Роскомнадзора к вам не будет претензий — можно сказать, что снято 99% рисков, связанных с данным законом.

Проверку локализации баз персональных данных Роскомнадзор проводит просто — запрашивает договор с российским хостинг-провайдером. После февраля проверка будет серьезнее и практичнее.

Кто несёт ответственность в случае, если хостинг-провайдер отечественный, а сервера использует зарубежные (т. е. пользователь может не знать, что его данные хранятся за границей)?

Ответственность лежит на конечном клиенте. Xостинг-провайдер может предоставлять зарубежные сервера, например, не для обработки и хранения данных персональных, а для вычислений.

Основные риски при невыполнении закона

По итогам проверок, мер систематического наблюдения и жалоб физических лиц Роскомнадзор и другие проверяющие органы могут накладывать штрафы, аннулировать лицензии, дисквалифицировать должностных лиц и блокировать сайты.

Основные риски:

  • Наложение на организацию штрафа до 300 000 рублей;
  • Наложение на должностных лиц штрафа до 10 000 рублей;
  • Разрыв трудового договора с должностным лицом;
  • Запрет руководителю занимать руководящие должности на срок до 3-х лет;
  • Блокировка сайта организации по жалобе физического лица;
  • Внесение компании в реестр нарушителей прав субъектов персональных данных.

С начала 2015 года по данным Роскомнадзора с организаций и должностных лиц было взыскано штрафов на 174 000 000 рублей.

С 1 сентября 2015 года Роскомнадзор имеет право без проверки, на основании жалобы физического лица заблокировать сайт организации за несоблюдение требований закона «О персональных данных».

Как лучше всего выполнить требования закона?

  • Собственными силами;
  • Привлечь юриста;
  • Обратиться к системному интегратору;
  • «Ждать, пока грянет гром»;
  • Использовать сервисы автоматизированной подготовки документов по персональным данным.

Рассмотрим каждый по отдельности.

Выполнение закона собственными силами

Чтобы выполнить требования, необходимо не только знать сам закон «О персональных данных» и подзаконные акты, но также разбираться в технических аспектах, чтобы описывать информационные системы персональных данных в организационно-распорядительной документации.

На поиск и разработку шаблонов документов по персональным данным, изучение законодательства и практику у вас или вашего сотрудника уйдет до 2-х месяцев. И это не даст гарантию результата: можно в чем-то ошибиться.

Выполнение закона с помощью юриста

Достаточно хороший способ, если у юриста или юридической компании, которой вы доверяете, есть необходимые знания по информационной безопасности.

Для подготовки документов по персональным данным, помимо знания самого закона, необходимо знать также подзаконные акты технического содержания и уметь регламентировать технические моменты.

При выборе такого варианта уточняйте у юриста — какие именно документы он будет разрабатывать, будет ли отображать в них технические моменты и имеет ли он опыт работы с Роскомнадзором.

Выполнение закона с привлечением системного интегратора

К системным интеграторам, как правило, обращаются большие компании и крупные государственные учреждения.

Плюсы: высокий уровень оказываемых услуг по информационной безопасности, гарантии, работа под ключ (разработка документации по персональным данным и внедрение технической защиты).

Минусы: высокая стоимость (в большинстве случаев — переваливающая за 1 000 000 рублей) и долгий срок реализации проекта, связанный с негибкостью бизнес-процессов.

«Ждать, когда грянет гром»

Единственные плюсы: отсутствие любых затрат в краткосрочной перспективе.

Минусы: рано или поздно закон придется выполнить. И лучше это сделать, пока требования не ужесточились окончательно.

Работа по ужесточению штрафных санкций Роскомнадзором ведется — в первом чтении уже принят законопроект о повышении штрафов до минимальных 30 000 рублей и максимальных 300 000 рублей за одно нарушение.

Выполнение закона с помощью сервисов автоматизированной подготовки документов по персональным данным

Плюсы: простота и доступность людям, не являющимся специалистами по информационной безопасности; невысокая стоимость; оперативная подготовка документов и консультации экспертов по безопасности.

Некоторые из сервисов также предоставляют финансовые гарантии с возмещением штрафов Роскомнадзора и помощь в прохождениях проверок.

Явные минусы: способ не подойдет крупным государственным компаниям и не поможет с полноценным внедрением системы защиты персональных данных, проверяемой в госсекторе ФСТЭК России и ФСБ России.

Почему стоит решить вопрос с выполнением требований закона «О персональных данных» именно сейчас

Это не только обязанность каждой частной или государственной компании, обрабатывающей персональные данные сотрудников и клиентов.

Заказчики (особенно иностранные) стали запрашивать не только учредительные документы, но и документы по персональным данным, чтобы подтвердить выполнение закона.

Закон стали использовать в качестве рычага давления не только органы исполнительной власти, но и конкуренты.

Какой способ вы бы ни выбрали, важно в итоге выполнить требования закона, снизив риски для компании и должностных лиц.

Источник картинки на тизере: Flickr

Вступил в силу закон о хранении и обработке персональных данных россиян с использованием серверов, находящихся на территории России

Установлен порядок ограничения доступа к информации, обрабатываемой с нарушением законодательства РФ в области персональных данных. Сегодня вступил в силу Федеральный закон от 21 июля 2014 г. № 242-ФЗ «О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях».

Напомним, документом установлена обязанность хранения на территории России персональных данных россиян, используемых интернет-серверами. Так, операторы должны при сборе персональных данных, в том числе посредством Интернета, обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан РФ с использованием баз данных, находящихся на территории нашей страны. Кроме того, россиянам предоставлено право в судебном порядке требовать удаления своих персональных данных, если они размещены в Интернете с нарушением законодательства.

Также предусмотрено создание Реестра нарушителей прав субъектов персональных данных, в котором будут отражены сведения об интернет-сайтах, содержащих информацию, обрабатываемую с нарушением законодательства РФ в области персональных данных. Сегодня вступает в силу и постановление Правительства РФ от 19 августа 2015 г. № 857 «Об автоматизированной информационной системе «Реестр нарушителей прав субъектов персональных данных».

Отметим, в начале августа Минкомсвязи России на своем официальном сайте разъяснило порядок применения новых правил. В частности, был разрешен спорный вопрос о допустимости трансграничной передачи данных – ведомство отметило, что подобные действия закон не нарушают. Кроме того, Минкомсвязи России посчитало, что под действие поправок не попадают российские и иностранные авиакомпании, и подчеркнуло, что правила нового закона распространяются исключительно на российских резидентов.

Портал ГАРАНТ.РУ узнал, как отразятся новые требования на работе крупных компаний. Так, в пресс-службе «Вконтакте» отметили, что личные данные пользователей этой социальной сети всегда хранились на территории России, поэтому никаких затруднений новые требования не вызовут. В свою очередь, по сообщению пресс-службы Mail.Ru Group, компания также готова к соблюдению вступающего в силу закона. «Для наших пользователей при этом ничего не изменится», – подчеркнули представители компании. Готова к вступлению в силу указанного закона и компания Enter – ее серверы находятся на территории РФ.

С другими документами, вступившими в силу сегодня, можно ознакомиться в нашем Правовом календаре.

Хранение персональных данных

Еще совсем недавно вопрос о безопасном хранении персональной информации работников не привлекал столько внимания, как сейчас.

Российское законодательство требует от работодателей разработки комплекса мер по защите данных сотрудников. За несоблюдение этих требований руководителям предприятий грозит наказание в виде штрафов, приостановления лицензии, и даже ареста.

Вот почему многие организации всерьез занялись обеспечением информационной безопасности, защищая конфиденциальные сведения о своей деятельности, в том числе базы данных персонала.

Что такое

В Федеральном законе РФ “О персональных данных” отмечено, что любая информация, касающаяся прямо или косвенно определенного физического лица относится к персональным данным.

Это различные сведения о человеке: от ФИО, даты и места рождения до информации о доходах, здоровье и т.д.

Если обратиться к Трудовому кодексу РФ, то можно увидеть, что персональными данными считается информация, относящаяся к работнику и используемая работодателем в связи с трудовыми отношениями.

При поступлении на работу каждый сотрудник предоставляет организации (оператору) паспорт, военный билет, пенсионное свидетельство, ИНН и другие документы.

Поэтому, каждый работодатель, заключая с работником трудовой договор, становится обладателем сведений, относящихся к персональным данным.
И совершая любые действия с этими данными (например, сбор, запись, систематизацию, накопление, хранение и другие), предприятие осуществляет их обработку.

Персональные данные, с которыми приходится работать сотрудникам кадровой службы, носят конфиденциальный характер. Это означает, что лица, имеющие доступ к личной информации работников, без их разрешения или другого законного основания, не имеют права ее распространять.

Правила хранения персональных данных

ТК РФ обязывает каждого работодателя разрабатывать правила использования и хранения данных о персонале на своем предприятии, учитывая требования федеральных законов.

Принятые соответствующие нормы и правила, могут содержаться в локальном акте фирмы о персональных данных. Чаще всего, таким документом становится Положение о защите персональных данных работников, но не запрещается включать данный раздел в Правила внутреннего распорядка.

Каждого сотрудника необходимо ознакомить с данным нормативным актом, поскольку ТК РФ прямо указывает на права работников участвовать в разработке мероприятий по обеспечению безопасности персональных данных.

Для сохранения конфиденциальности персональных данных составляется список должностных лиц, имеющих к ним доступ, и разрабатывается форма документа, к примеру, «Соглашение о неразглашении», которое подписывают не только рядовые работники-исполнители (специалист по кадровой работе, бухгалтеры и др.), но и руководители подразделений, генеральный директор предприятия.

Физическое хранение персональных данных

Многие специалисты отдела кадров ведут личные дела работников традиционным способом и не желают от него отказываться.

Особенности этого заключаются в том, что вся информация о каждом работнике, представленная оригиналами и копиями документов накапливается в специально оформленной папке. При этом единых правил оформления личных дел в коммерческих организациях не существует.

Преимущества ведения личных дел:

  • все данные о сотруднике находятся в одном месте;
  • возможность четкой систематизации;
  • быстрый поиск информации о конкретном человеке.

Недостатки хранения персональной информации с комплектованием личных дел:

  • высокая трудоемкость (требуется регламент, подшивка документов, опись, сверка, архивирование);
  • требуются дополнительные ресурсы (сейфы, отдельные помещения и т.д.);
  • необходимы навыки работы с личными делами.

Часто персональная информация о работниках хранится на бумажных носителях, расположенных в разных тематических папках в соответствии с номенклатурой организации.

Возможность проверить отчет ПФР предоставляемый в 2014 г. по новой форме расчета для начисленных и уплаченных взносов обязательного пенсионного страхования в ПФР, и страховым взносам в Фонд обязательного мед. страхования, имеется в программе CheckXML.

Отчетности в ПФР бояться не стоит, несмотря на большое количество кодов и регистрационных номеров, которые необходимо отразить в документах. О том, как правильно подготовить отчет в ПФР читайте .

Все документы, касающиеся работников, одного назначения: трудовые договоры, документы анкетно-биографического характера, договоры материальной ответственности и т.д. размещаются в отдельные папки и выстраиваются в алфавитном порядке или по регистрационным номерам.

В сравнении с оформлением личных дел, такой способ хранения данных о работниках несет в себе меньше трудозатрат и не требует особых навыков от кадровика.

Однако раздельное хранение имеет и свои недостатки:

  • поиск информации о сотруднике занимает много времени;
  • существует более высокий риск раскрытия конфиденциальной информации.

Хранение персональных данных в электронном виде

При таком способе хранении практически вся персональная информация хранится в электронном виде с использованием базы персональных данных и информационных систем.

Преимущества хранения информации на электронных носителях:

  • нет необходимости в дополнительных ресурсах;
  • экономится место и пространство;
  • высокая скорость и удобство работы с персональными данными;
  • повышенная степень защиты от несанкционированного доступа;
  • срок хранения не ограничен сроками;
  • не нужен большой архив.

Недостатки хранения информации в электронном виде:

  • необходимо иметь резервные копии базы данных персонала;
  • программное обеспечение и специальное оборудование стоит не дешево;
  • требуется администрирование информационной системы;
  • нужна высокая грамотность сотрудника, работающего с персональными данными.

Для того, чтобы защитить персональные данные, хранящиеся в электронном виде используют следующие методы:

  • внедрение разрешительной системы допуска персонала к конфиденциальной информации;
  • ограничение доступа сотрудников в помещения, где находятся технические средства, используемые для обработки личных данных;
  • четкая организация хранения и учета информационных носителей и другие.

Обезопасить себя от потенциальных претензий со стороны финансовых структур и исключить риски в ведении предпринимательской деятельности позволит проверка контрагента на добросовестность.

Есть специальные сайты, где Вы можете проверить контрагента по налоговой просто введя номер его ИНН в специальную графу и получить результат мгновенно. О том, как провести проверку по ИНН узнайте .

У каждого из рассмотренного способа хранения персональных данных работников на предприятии свои недостатки и преимущества. Часто на практике они сочетаются: ведутся и личные дела, и электронные базы данных персонала.

В любом случае работодатель должен иметь согласие работников на обработку их персональной информации.
Так же необходимо учитывать материальные возможности для обеспечения защиты и сохранности документов, трудозатраты и квалификацию персонала кадровой службы.

About the author

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *