Защита персональных данных: что нужно знать организациям?

В целом, можно сказать, что это абсолютно все сведения, что прямо либо же косвенно касаются сотрудника и способны помочь в его идентификации. В ФЗ № 152 об этом говорит третья статья, можете прочитать ее самостоятельно, как и весь текст закона – это будет полезно.

Кстати, важный момент: когда говорят о системе защиты персональных данных в организации, почему-то думают исключительно о сотрудниках, которые состоят в штате. Однако забывают про кандидатов – то есть соискателей на вакансии, с чьей личной информацией работает ваш рекрутер или целый HR-отдел.

А ведь еще на этой стадии изучается резюме человека, возможно, он также оформляет на посту охраны пропуск, чтобы попасть на первичное собеседование, и оставляет свои ФИО, а потом заключает договор. Поэтому защита персональных данных в организации – довольно масштабная тема, и ее пристальное изучение просто необходимо.

Итак, что подпадает под организацию защиты персональных данных в нашей стране – России:

• Где и когда родился,
• Как зовут и где живет,
• Электронная почта, номер телефона,
• Сведения из основных документов типа паспорта, СНИЛСа и ИНН,
• Любая информация о родных и близких,
• На ком женат или за кем замужем,
• Какие-то индивидуальные сведения,
• Биометрия.

Впрочем, если мы говорим про организацию системы защиты персональных данных, стоит понимать, что существуют исключения из правил. Например, что-то одно из списка может не быть личной информацией, если она идет без связи с иными данными. Взять, например, номер телефона – просто набор цифр. Не зная ФИО, мы не получаем ничего. А вот ФИО – даже без всего остального типа даты рождения или занимаемой должности – все равно персональные данные.

Именно руководство – то есть работодатель – становится оператором в данном случае, и именно он обязан охранять конфиденциальные сведения. Чтобы обработка и защита персональных данных в организации была корректной, действуем поступательно, Выпускаем приказ, в котором проводим назначение лица, что будет считаться ответственным.

Тут есть несколько вариантов. Можно сформировать должность, которой в фирме раньше не было. Или взять уже существующего сотрудника предприятия и передать ему новые дополнительные функции – плюсом к имеющимся. Важно выдать вместе с должностью должностную инструкцию.

Издаем внутренние документы, целью которых будет определение действий работодателя.

Смысл подобных документов – определить, что делает работодатель. Об этом нам говорит статья 87 ТК РФ: работодатель должен провести утверждение порядка хранения, защиты, использования персональных данных в организации.

Как и с любым другим документом, здесь также действуем по стандартной структуре: сначала общие положения, затем базисные понятия, потом следует состав персональных данных, следом пишем про обработку и передачу (внутри фирмы или же неким третьим лицам), доступ к ним, ответственность в случае нарушений и т.д.

Помимо этого Положения, система защиты персональных данных в организации должна содержать Политику обработки. Такое требование мы находим в том же ФЗ № 152, в статье 18-й.

Эти документы обязательно предоставляются работникам, а еще с них собираются согласия, таким образом, получается пакет документов в системе защиты персональных данных в организации.

Оцениваем соответствие между обработкой на практике и законами, а также местными актами.

Ответственное лицо, которое вы назначили в рамках мер по защите персональных данных в организации в пункте 1 нашей инструкции, обязано проконтролировать, выполняются ли требования, а также соблюдаются ли правила.

Кроме того, в его зону ответственности входит отслеживание изменений существующих законов в области защиты персональных данных в организации. Это не должен делать руководитель. Если в компании есть юротдел, можно на кого-то из них повесить такую ответственность. Впрочем, вы уже выбрали кандидата еще в первом шаге.

Еще ответственное лицо должно по возможности оптимизировать методы защиты персональных данных в организации, если это возможно, предлагать руководству, и так далее.

Оцениваем потенциальный вред работникам в случае, если защита персональных данных в организации будет нарушена.

В законах не указано, как должна проводиться оценка, поэтому тут работодатель свободен делать это самостоятельно, как ему кажется правильным.

Применяем меры по защите персональных данных в организации – как организационного, так и технического характера.

При разработке и последующем применении этих мер важно понимать, что их цель – не пропускать «атаки», направленные на изменение, копирование и другие действия со сведениями.

Здесь все зависит от того, будут ли сведения фигурировать в информационных системах (и, следовательно, обрабатываться). В целом, защита персональных данных в организации начинается физической защиты носителей – то есть в буквальном смысле.

Нужно сформировать специализированное помещение, где сведения будут храниться. Чтобы удостовериться в защите персональных данных в организации, убеждаемся, что доступа в помещение нет – имеется в виду несанкционированный доступ, разумеется.

В 93% случаев персональные данные на предприятии «держат в руках» бухгалтеры и кадровики. Какие еще могут быть средства защиты персональных данных в организации:

1. Ограничить количество людей, которым доступны эти сведения,
2. Произвести принятие нормативных документов,
3. Утвердить список бумаг, в которых есть персональные данные,
4. Начать применять специальные программы типа антивируса, чтобы обеспечить защиту персональных данных в организации в цифровом пространстве,
5. Периодически проводить что-то типа тестов или лекций для работников – освежать их знания в этой области,
6. Ввести пропускной режим.

Организация защиты персональных данных в России не запрещает каждому работодателю самостоятельно разрабатывать методы и способы. Если они, конечно же, не противоречат закону.

Давайте еще раз перечислим правила, которые помогут вам не опростоволоситься и выполнить все, что нужно в соответствии с Федеральным Законом:

Вы должны сказать Роскомнадзору, что производите обработку персональных данных. Нюанс: сообщить об этом вам надлежит ДО того, как к вам на стол ляжет первое резюме, и вы заключите первый трудовой договор с вашим новым работником. Согласно порядку защиты персональных данных в организации вас внесут в перечень операторов, тогда сможете их использовать. Чтобы уведомить ведомство, воспользуйтесь специальной формой – найти ее можно на сайте РКН.

Ни в коем случае не забывайте запрашивать согласия у своих работников на то, чтобы собирать и обрабатывать информацию. Помните, что в рамках организации системы защиты персональных данных собирать и хранить их разрешается только для конкретных целей и только на обозначенный срок. Если время вышло, или цели достигнуты, а сотрудник написал заявление с просьбой, надо уничтожить собранное.

Если субъекты персональных данных обращаются к вам, вы должны своевременно отвечать на эти сообщения и предоставлять ту информацию, которую они запросили.

Хранение и защита персональных данных в организации осуществляется в соответствии с законом и правовым актам. Вы должны хранить их в точном, неизменном виде, обеспечивать сохранность, конфиденциальность, не разглашая кому-то извне. Но если передача третьим лицам в силу обстоятельств необходима, формируйте документальное подтверждение этому. И передавайте лишь тем, у кого есть соответствующая аттестация.