ГлавнаяБиблиотекаСтатьиПро обязательный перечень документов, штрафы, уведомление Роскомнадзора и контрольные точки

Про обязательный перечень документов, штрафы, уведомление Роскомнадзора и контрольные точки

О том, что нужно знать кадровику, какие документы проверить и как привести их в соответствие новым требованиям, какова ответственность, рассказывает, юрист по трудовому праву, эксперт в области работы с персональными данными и  про изменения в работе с персональными данными.

Основные изменения произошли в марте и июле. К осени мы ожидаем выход нормативных правовых актов, которые будут определять порядок работы с получением согласия на распространение персональных данных через информационную систему Роскомнадзора и порядка работы в ней. Пока документы проходят официальные чтения.

С 1 марта 2021 года:

·                     Появился обязательный документ — согласие на распространение персональных данных. В связи с этим необходимо знать порядок его получения, требования к содержанию, условиям прекращения действия и др. В Закон № 152-ФЗ от 27.07.2006 «О персональных данных» введена новая статья 10.1.

·                     Законодатели ужесточили меры за нарушение обработки персональных данных. Изменения внесены в ст. 13.11 КоАП РФ.

С 1 июля 2021 года:

·                     Определен новый порядок прохождения инспекционных проверок, в том числе и Роскомнадзора. Вступает в силу Федеральный закон от 31.07.2020 № 248-ФЗ «О государственном контроле (надзоре) и муниципальном контроле в Российской Федерации».

·                     Определен новый порядок прохождения проверок органами Роскомнадзора, который введен в действие Постановлением Правительства РФ от 29.06.2021 № 1046 «О федеральном государственном контроле (надзоре) за обработкой персональных данных».

Есть ли обязательный перечень документов по персональным данным для организаций?

Перечень обязательных документов по персональным данным, которые должны быть в каждой организации, зависит от того, каким оператором является работодатель и какие персональные данные он обрабатывает.

Оператор — это юридическое или физическое лицо (например, индивидуальный предприниматель или лицо, с которым заключен гражданско-правовой договор), осуществляющее обработку персональных данных. Круг прав и обязанностей в области обработки персональных данных будет зависеть от целей и задач конкретного оператора.

Главный нормативно-правовой акт, которым необходимо руководствоваться в работе с персональными данными, — Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ).

Основные обязательные документы:

·                     Политика в отношении персональных данных — в первую очередь должна быть в организации (ст. 18.1 Федерального закона № 152-ФЗ). ​

Обратите внимание: законодательно требований к документу не установлено. Есть разъяснения Роскомнадзора по его содержанию. Рекомендуем их учитывать.

·                     Локальный нормативный акт по персональным данным — определяет порядок обработки персональных данных в конкретной организации, с ним должны быть ознакомлены все работники под подпись. Наличие документа обусловлено требованием ст. 86 Трудового кодекса РФ.

При анализе содержания локального нормативного акта по персональным данным необходимо руководствоваться:

·                     Федеральным законом № 152-ФЗ — он определяет основные требования в отношении оператора по персональным данным; 

·                     Постановлением Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;

·                     Постановлением Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».

·                     Согласие на обработку персональных данных необходимо оформлять практически с каждым субъектом персональных данных (соискателем, работником, родственниками работника, клиентами, третьими лицами и др.), чьи данные обрабатывает организация.

Требования к форме согласия установлены ст. 9 Федерального закона № 152-ФЗ. Количество согласий на обработку персональных данных зависит от количества субъектов, чьи данные обрабатываются в организации.

Пример: от работника необходимо получить как минимум два согласия: одно при прохождении собеседования (когда он еще соискатель) и второе, когда он уже стал работником, до заключения с ним трудового договора.

Внимание: с 1 марта 2021 года в организации нужно также оформлять новый документ — согласие на распространение персональных данных (ст. 10.1 Федерального закона № 152-ФЗ).

Это минимальный список обязательных документов по персональным данным, который должен быть в каждой организации.

Точный перечень зависит от того, какие данные обрабатываются организацией и какие законодательные требования к их обработке установлены.

Каковы штрафы за нарушения обработки и распространения персональных данных?

Все действия с персональными данными относятся к их обработке: сбор, систематизация, накопление, хранение, уточнение, изменение, использование, передача, обезличивание, блокирование, уничтожение и т.д.

Любые действия, направленные на раскрытие персональных данных неопределенному кругу лиц, считаются распространением персональных данных и требуют наличия согласия.

Ответственность предусмотрена ст. 13.11 п. 2, 2.1 КоАП РФ. В случае если порядок получения согласия нарушен, его форма неверная или в ней отсутствуют частично обязательные условия, грозит увеличенный штраф:

·                     для должностных лиц — от 20 000 до 40 000 руб.

·                     для юридических лиц — от 30 000 до 150 000 руб.

За повторное нарушение ввели новые штрафы:

·                     для должностных лиц — от 40 000 до 100 000 руб.

·                     для индивидуальных предпринимателей — от 100 000 до 300 000 руб.

·                     для юридических лиц — от 300 000 до 500 000 руб.

Назовите контрольные точки. Что нужно знать кадровику, чтобы не попасть на штрафы?

Что необходимо проверить:

1.            Состоит ли организация в реестре Роскомнадзора как оператор, осуществляющий обработку персональных данных в соответствии с требованиями ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
Для этого нужно: зайти на сайт Роскомнадзора, в разделе «Персональные данные» выбрать «Реестр операторов персональных данных» и указать в нем название организации, ИНН и регистрационный номер. Если поиск не дал результатов, регистрация отсутствует.

2.            Есть ли в организации Политика в отношении персональных данных. Если есть, проверьте, размещена ли она в открытом доступе на сайте организации. При отсутствии сайта для ознакомления с Политикой в организации к ней должен быть обеспечен неограниченный доступ.
Пример: Политику можно разместить перед входом в организацию на информационном стенде.

3.            Со всеми ли соискателями, работниками и иными третьими лицами подписаны согласия на обработку персональных данных. Если нет, необходимо получить эти согласия. При этом обязательно проверьте, соответствует ли форма согласия на обработку персональных данных требованиям п. 4 ст. 9 Федерального закона № 152-ФЗ.
Пример: в согласии могут быть не указаны все третьи лица, которым передаются персональные данные. Или отсутствует перечень действий по персональным данным. Или некорректно указаны или вовсе не указаны условия обработки и распространения персональных данных.

4.            Если в организации персональные данные субъектов распространяются в неограниченном кругу лиц, есть ли специальные согласия на такое распространение. Это новое требование, которое вступило в силу с 1 марта 2021 года.

5.            Всем ли работникам, в должностные обязанности которых входит работа с персональными данными, установлены разграничения по соответствующему доступу (полному или ограниченному).
Необходимо оформить доступ: условия указать в локальном нормативном акте (например, Положении по персональным данным) либо приказах по организации, а также должностных инструкциях работников.

6.            Назначено ли ответственное лицо или лица за организацию обработки персональных данных(ст. 18.1 и 22.1 Федерального закона № 152-ФЗ).

7.            Соответствуют ли используемые типовые формы документов (приказов, уведомлений, соглашений, графиков и т.д.) требованиям Постановления Правительства РФ от 15.09.2008 № 687 «Об утверждении положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».

Нужно ли уведомлять Роскомнадзор об обработке персональных данных? И что будет, если этого не сделать?

Да, уведомлять органы Роскомназдора о начале обработки персональных данных обязательно в соответствии с требованиями ст. 22 Федерального закона № 152-ФЗ, за исключением случаев, предусмотренных вышеуказанной статьей. Если вы попадаете под исключения, то уведомлять Роскомнадзор не требуется:

За нарушение порядка уведомления Роскомнадзора предусмотрена административная ответственность. Работодателю грозит предупреждение или наложение административного штрафа:

 

для должностных лиц — от 300 до 500 руб.;

для юридических лиц — от 3 000 до 5 000 руб.

Штраф носит разовый характер, нарушение необходимо исправить по предписанию инспектора (ст. 19.7 КоАП РФ).

С чего кадровику начать внутренний аудит документации по персональным данным, чтобы выявить и исправить нарушения?

Любой аудит начинается с определения перечня документов, которые будут подлежать проверке.

В обязательном порядке необходимо проверить не только правильность оформления документов, но и каким образом выстроены процессы и процедуры при осуществлении обработки персональных данных.

Алгоритм действий:

Вебинар про персональные данные

Чек-лист кадровику. Подготовьтесь к будущим изменениям заранее.

1.            Отберите документы по персональным данным, которые будут подлежать проверке: локальные нормативные акты, согласия от работников, соискателей, третьих лиц, и др. субъектов, чьи данные обрабатываются), приказы, инструкции, регламенты, типовые формы документов, содержащие персональные данные. Проанализируйте их на предмет соответствия требованиям действующего законодательства.

2.            Проверьте порядок получения персональных данных от каждого субъекта.

3.            Проанализируйте, как осуществляется обработка персональных данных за пределами организации третьими лицами и внутри организации — при передаче из отдела в отдел по электронной почте, телефону, по запросу.

4.            Результаты аудита оформите актом или заключением. Форма может быть любой — главное, выявить нарушения, для того чтобы их можно было в дальнейшем устранить.

Какие самые частые нарушения допускают кадровики при работе с персональными данными?

Самые распространенные нарушения по персональным данным:

1.            Обработка персональных данных соискателя и третьих лиц без получения от них согласия в установленном порядке.

2.            Использование согласия на обработку персональных данных по форме, не соответствующей требованиям норм действующего законодательства.

3.            Отсутствие или неразмещение Политики в отношении персональных данных на сайте организации либо необеспечение неограниченного доступа к данному документу в организации.

4.            Несоответствие локального нормативного акта по персональным данным требованиям норм действующего законодательства.

5.            Отсутствие в организации ответственного лица или лиц за организацию обработки персональных данных.

6.            Незаконная передача персональных данных третьим лицам (без согласий либо с согласиями, оформленными с нарушениями).

7.            Нарушение порядка хранения и уничтожения персональных данных в информационных системах и на бумажных носителях.

8.            Нарушение порядка предоставления персональных данных или документов, содержащих персональные данные работников.

О том, как Роскомнадзор проводит проверки, на что обращает особое внимание, читайте в статье Марии Финатовой Проверки Роскомнадзора. Как подготовиться работодателю.

Какие согласия нужно взять с работника при приеме на работу?

·                     При приеме на работу необходимо получить от работника согласие на обработку тех его персональных данных, которые работодатель собирается обрабатывать в деловых целях, а не для исполнения требований норм действующего законодательства. 

Пример: для создания адреса электронной почты, оформления визиток, поздравления с днем рождения, указания в графике работ и т.д. (ст. 6 и 9 Федерального закона № 152-ФЗ).

·                     Если работодатель будет распространять персональные данные работника, то ему необходимо получить на это отдельное согласие от работника (ст. 10.1 Федерального закона № 152-ФЗ).

·                     Еще одно согласие в обязательном порядке работодатель как оператор персональных данных должен получить до начала трудовых отношений, когда работник имеет статус соискателя и его данные обрабатываются в других целях, нежели при трудоустройстве.

Есть ли срок действия согласий, которые мы берем у работников, нужно ли их обновлять?

У согласий, которые предоставляет работник на обработку персональных данных, безусловно, есть срок действия. Его определяет сам работник — это является одним из обязательных условий в соответствии с требованиями п. 4 ст. 9 Федерального закона № 152-ФЗ.

Внимание: от корректности указанного работником срока действия согласия зависит возможность обработки оператором его персональных данных. Не рекомендуется устанавливать срок на период действия трудовых отношений, так как после увольнения работника вы обязаны будете прекратить обработку его данных, указанных в согласии, и уничтожить персональные данные в установленные законом сроки — в течение 30 дней.

На указание срока влияют цели обработки и перечень осуществляемых действий с персональными данными.

Рекомендация: при подписании согласия разъясните работнику, для чего указан срок обработки персональных данных и почему он такой. Как правило, на практике операторы сами указывают срок в форме согласия, а субъекты подписывают его и вопросов не возникает. Но следует помнить, что субъект может при подписании согласия изменить срок как на больший, так и на меньший, ведь это его законное право. Оптимально — договориться с работником и указать срок, удобный обеим сторонам. Плюс работодателю будет удобно учесть требования архивного законодательства. Например, прописать срок 75 лет.

Как реагировать на запрос сведений о работниках сторонними организациями? Кому можно отказать, а кому нет? Как аргументировать свои действия?

Когда можно предоставлять персональные данные без согласия работника

Предоставлять персональные данные субъекта сторонним организациям без его согласия можно, если эти случаи предусмотрены законом. Например, идет судебный процесс и суд делает соответствующий запрос по работнику — работодатель может сообщить сведения, получать согласие у работника он не обязан.

Когда нельзя предоставлять персональные данные без согласия работника

На практике может случиться, что в организацию поступает звонок от потенциального работодателя или из банка с вопросами о работнике. Такой запрос не предусмотрен нормами действующего законодательства. Работодатель не имеет права раскрывать данные работника третьим лицам без его согласия, которое должно быть получено с соблюдением требований ст. 9 Федерального закона № 152-ФЗ.

Важно: нельзя передавать или подтверждать по телефону действительность и принадлежность персональных данных субъекта (работника, соискателя, третьего лица и др.), так как по телефону сложно идентифицировать лицо, от которого поступает звонок. При подобной передаче сведений может быть нарушен порядок обработки и разглашены персональные данные постороннему лицу. Предоставление персональных данных возможно только на основании письменного запроса от третьего лица, которому необходимы персональные данные.

Как действовать при запросе данных третьими лицами

Попросите направить к вам в организацию официальный письменный запрос. Это может быть текст на официальном или обычном бланке организации с подписью ответственного лица и печатью при ее наличии. Требований к таким запросам законодательно не предусмотрено.

·                     Главное условие, чтобы это был запрос от того юридического или физического лица, кто хочет получить персональные данные. Поясните, что ответ будет предоставлен только при наличии письменного согласия субъекта персональных данных. Если данные необходимо получить вашей организации, действуйте по аналогии — направляйте официальный запрос.

Сбор сведений в рамках зарплатного проекта является обработкой персональных данных?

Да, так как банк является третьим лицом, которому будут предоставляться персональные данные работника. Для их предоставления от работника необходимо получить согласие на передачу персональных данных, в котором помимо общих условий указать название банка, адрес его местонахождения, перечень передаваемых персональных данных банку, цели передачи, перечень действий, совершаемых с персональными данными. Требования к форме согласия предусмотрены п. 4 ст. 9 Федерального закона № 152-ФЗ.

Работодатель собирает сведения о детях работников с целью вручения подарков к праздникам — как правильно оформить процедуру?

Достаточно получить от работника согласие на обработку персональных данных его детей. Если дети не достигли 18-летнего возраста, работник будет выступать законным представителем своего ребенка, и этого документа будет достаточно, чтобы вручить подарки. Согласие оформляется в соответствии с п. 4 ст. 9 Федерального закона № 152-ФЗ.

Оптимальный перечень документов на работника: какие данные запрещено требовать и хранить?

Помните, что работодатель вправе запрашивать у работника как при приеме на работу, так и в дальнейшем только те документы, которые являются обязательными по закону:

·                     документ, удостоверяющий личность, СНИЛС (если он есть у работника), военный билет, документ об образовании и т.д.

Обработка иных дополнительных персональных данных из документов, предоставленных работником, требует наличия согласия на обработку персональных данных от работника.

Запрашивать нужно только те документы, которые в первую очередь необходимы для выполнения требований законодательства, а во вторую очередь — для целей работодателя.

·                     Пример целей, определенных законом: для приема на работу, для заключения трудового договора, для начисления заработной платы, для предоставления отпуска и т.д.

·                     Пример целей работодателя: создание адреса электронной почты с указанием имени или фамилии работника, для оформления визиток, для поздравления с днем рождения, для заказа пропуска и т.д.

Оптимально хранить оригиналы документов, необходимые работодателю:

·                     к таким документам относятся трудовой договор, письменные соглашения к нему, согласия на обработку и распространение персональных данных, заявления, приказы, личная карточка Т-2.

Хранение копий документов возможно только в случаях, разрешенных законодательством, либо для исполнения обязательств по договору с третьими лицами. В противном случае, если копии документов будут храниться без достаточных на то законных обоснований, это может быть признано избыточными персональными данными по отношению к заявленным целям обработки, что, в свою очередь, нарушает порядок обработки персональных данных и влечет возможность привлечения к административной ответственности.

Рекомендации кадровикам по работе с персональными данными работников

Мы наблюдаем тенденцию стремительного изменения законодательства по персональным данным. Рекомендую держать руку на пульсе, ведь одновременно с изменениями в порядке оформления документов и процессов по персональным данным ужесточается и ответственность за нарушения. 

Штрафы выросли в разы и достигают уже не тысячных, а миллионных цифр в отношении операторов, которые допускают нарушения по ПД.

·                     Регулярно отслеживайте изменения и своевременно вносите исправления в документы, корректируйте процессы по персональным данным, которые существуют в организации.

·                     Чтобы вовремя разобраться в новых правилах, зарегистрируйтесь на вебинар «Законодательные изменения по персональным данным. Чек-лист для кадровика».

·                     Следите за актуальностью локальных нормативных актов, согласий, приказов, инструкций, регламентов, типовых форм и другие документов, в которых содержатся персональные данные и к которым установлены требования законодательства по их оформлению.

·                     Помните о соблюдении процессов обработки персональных данных.

·                     При работе с персональными данными учитывайте обязательные требования норм действующего законодательства, которые несут наибольшие риски.

·                     Обязательно сделайте чек-лист и проверьте по нему: состоите ли вы на учете в органах Роскомнадзора или нет, какие документы по персональным данным у вас оформлены с учетом их содержания, а какие нет, сo со всеми ли субъектами, чьи данные вы обрабатываете, подписаны необходимые согласия, все ли процессы по передаче персональных данных налажены и защищены, есть ли ответственные лица за организацию обработки персональных данных.

 

С Уважением Вячеслав Владимирович +7 978 049 93 03

Комментарии (0)