Системы хранение бумажных носителей с персональными данными

Здравствуйте, в этой статье мы постараемся ответить на вопрос: «Системы хранение бумажных носителей с персональными данными». Также Вы можете бесплатно проконсультироваться у юристов онлайн прямо на сайте.

Содержание:

Персональными данными является любая информация, прямо или косвенно относящаяся к субъекту персональных данных — определенному или определяемому физическому лицу (ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», далее — Закон о персональных данных).

К общим персональным данным можно отнести следующие сведения:

фамилия, имя, отчество;
дата и место рождения;
адрес (место регистрации);
образование, профессия;
изображение человека (фотография и видеозапись), которое позволяет установить личность и с этой целью используется оператором (Разъяснения Роскомнадзора от 30 августа 2013 года «О вопросах отнесения фото- и видео- изображения, дактилоскопических данных и иной информации к биометрическим персональным данным и особенности их обработки»);
семейное положение, наличие детей, родственные связи;
факты биографии и предыдущая трудовая деятельность (место работы, судимость, служба в армии, работа на выборных должностях, на государственной службе и др.);
финансовое положение. Сведения о заработной плате также являются персональными данными (письмо Роскомнадзора от 07.02.2014 № 08КМ-3681);
деловые и иные личные качества, которые носят оценочный характер;
прочие сведения, которые могут идентифицировать человека.

Кроме того, в Законе о персональных данных упоминаются:

специальные персональные данные (касаются расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни). По общему правилу обработка этих данных не допускается. Исключение — случаи, предусмотренные частью 2 статьи 10 Закона о персональных данных;
биометрические персональные данные (характеризуют физиологические и биологические особенности человека, на основании которых можно идентифицировать его личность). Для обработки таких сведений необходимо согласие субъекта персональных данных. Исключение — случаи, установленные ч. 2 ст. 11 Закона о персональных данных.

Работодатель вправе получать и использовать только те сведения, которые характеризуют гражданина как сторону трудового договора (например, сведения о социальном и имущественном статусе человека не имеют отношения к его трудовому процессу). Эта информация содержится в следующих документах, предъявляемых работником при приеме на работу:

в паспорте или ином документе, удостоверяющем личность;
трудовой книжке;
документах о воинском учете, образовании, составе семьи;
справке о доходах с предыдущего места работы;
анкете, заполняемой при трудоустройстве;
личной карточке работника (форма Т-2);
свидетельствах о заключении брака, рождении ребенка;
медицинских справках и др.

У работодателя хранятся копии перечисленных документов, за исключением анкет, трудовых книжек и личных карточек.

Хранение персональных данных: закон 2020, нюансы, рекомендации

Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение данных (ст. 3 Закона о персональных данных).

Закон о персональных данных обязывает работодателя соблюдать определенные требования по обработке этих данных. Например, обработка персональных данных осуществляется только с согласия работника (п. 1 ст. 6, ст. 9 Закона о персональных данных). Во избежание судебных споров лучше, если это согласие будет оформлено письменно. То же самое правило действует в отношении соискателей.

В некоторых случаях письменная форма согласия прямо предусмотрена законом (ч. 4 ст. 9 Закона о персональных данных). Например, письменное согласие работника на обработку его персональных данных требуется:

1) при получении персональных данных работника у третьей стороны (п. 3 ст. 86 ТК РФ). Но в этом случае работника нужно предварительно уведомить об этом и получить его письменное согласие (п. 3 ст. 86 ТК РФ).

В уведомлении необходимо указать (п. 3 ст. 86 ТК РФ):

цели получения персональных данных работника у третьего лица;
предполагаемые источники информации (лица, у которых будут запрашиваться данные);
способы получения данных, их характер;
возможные последствия отказа работодателю в получении персональных данных работника у третьего лица. При отказе работника ознакомиться с уведомлением о предполагаемом получении его персональных данных у другого лица целесообразно составить соответствующий акт.

Если работник передумал, то в любое время вправе отозвать согласие на обработку персональных данных (ч. 2 ст. 9 Закона о персональных данных).

В такой ситуации продолжение обработки персональных данных работника без его согласия возможно при наличии веских причин. Они перечислены в пунктах 2 — 11 части 1 статьи 6, части 2 статьи 10, части 2 статьи 11 Закона о персональных данных (ч. 2 ст. 9 Закона о персональных данных).

Определенную информацию (которая не имеет отношения к перечисленным в пункте 1 статьи 86 ТК РФ целям), работодатель не вправе запрашивать у третьих лиц даже, если работник согласен.

2) при передаче персональных данных работника третьим лицам, кроме тех случаев, когда это необходимо для предупреждения угрозы жизни и здоровью работника (абз. 2 ст. 88 ТК РФ);

3) для обработки специальных категорий персональных данных работника, непосредственно связанных с вопросами трудовых отношений (п. 4 ст. 86 ТК РФ, п. 1 ч. 2 ст. 10 Закона о персональных данных). К этим данным относятся сведения о расовой, национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни.

При недееспособности работника письменное согласие на обработку его данных дает его законный представитель (родитель, опекун) (ч. 6 ст. 9 Закона о персональных данных). А в случае смерти работника такое согласие оформляют его наследники, если только оно не было получено от самого работника при его жизни (ч. 7 ст. 9 Закона о персональных данных).

Не во всех случаях требуется согласие работника на обработку персональных данных. Например, в том случае, если данные получены (п. 2 ч. 1 ст. 6, п. 2.3 ч. 2 ст. 10 Закона о персональных данных, абз. 1 Разъяснений Роскомнадзора):

из документов (сведений), предъявляемых при заключении трудового договора;
по результатам обязательного предварительного медицинского осмотра о состоянии здоровья (ст. 69 ТК РФ, п. 3 Разъяснений Роскомнадзора от 14 декабря 2012 года «Вопросы, касающиеся обработки персональных данных работников, соискателей на замещение вакантных должностей, а также лиц, находящихся в кадровом резерве», далее — Разъяснения Роскомнадзора от 14.12.2012);
в объеме, предусмотренном унифицированной формой № Т-2, в том числе персональных данных близких родственников, и в иных случаях, установленных законодательством РФ (получение алиментов, оформление допуска к государственной тайне, оформление социальных выплат) (п. 2 Разъяснений Роскомнадзора от 14.12.2012);
от кадрового агентства, действующего от имени соискателя (абз. 12 п. 5 Разъяснений Роскомнадзора от 14.12.2012);
от соискателя, который сам разместил свое резюме в Интернете, сделав его доступным неограниченному кругу лиц (п. 10 ч. 1 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ, абз. 12 п. 5 Разъяснений Роскомнадзора от 14.12.2012).

Работодатель с согласия работника может поручить обработку его персональных данных другому лицу (ч. 3 ст. 6 Закона о персональных данных, абз. 2 п. 5 Разъяснений Роскомнадзора от 14.12.2012). Но при этом именно работодатель несет ответственность перед работником за действия указанного лица (ч. 5 ст. 6 Закона о персональных данных).

Работодатель должен обеспечивать защиту персональных данных работника от неправомерного их использования или утраты за счет своих средств (п. 7 ст. 86 ТК РФ).

Разберем пошагово действия работодателя по учету и хранению персональных данных в организации.

Шаг 1. Работодатель должен издать локальный акт, который будет регулировать порядок хранения и использования персональных данных. Таким актом обычно является Положение о персональных данных работников, с которым работники должны быть ознакомлены под подпись (п. 8 ст. 86 ТК РФ). Ознакомиться с Положением о персональных данных, как и с остальными локальными нормативными актами, работник должен до подписания трудового договора (ст. 68 ТК РФ). Ознакомить работника с документом путем рассылки его по электронной почте нельзя, это не будет считаться ознакомлением под подпись. При отсутствии подписи работника работодатель не сможет доказать, что работник был ознакомлен с данным документом.

Положение о персональных данных, как и любой другой локальный нормативный акт, издается и утверждается приказом, который подписывает руководитель организации или иное уполномоченное на это лицо.

В случае проверки организации, проверяющие органы могут запросить данный документ и проверить, ознакомлены ли с ним работники. Отсутствие такого документа или неознакомление работников с ним может являться основанием для привлечения работодателя к ответственности согласно части 1 статьи 5.27 КоАП РФ, а в случае совершения аналогичного нарушения повторно — по части 2 статьи 5.27 КоАП РФ. Такой вывод также подтверждается судебной практикой (Постановление ФАС Московского округа от 26.10.2006 № КА-А40/10220-06 № А40-20745/06-148-194).

Шаг 2. Работодатель утверждает документ, содержащий перечень персональных данных, которые используются в деятельности организации. В этот документ включаются все сведения, которые работник письменно сообщает о себе при поступлении на работу, а также используемые в дальнейшем при оформлении кадровой документации.

Помимо этого в перечне должны быть указаны документы, содержащие те сведения о сотрудниках, которые организация представляет в различные государственные органы (налоговую и трудовую инспекции, органы статистики).

Шаг 3. Работодатель приказом должен назначить ответственных за работу с персональными данными и ответственных за обеспечение безопасности персональных данных. Таким ответственным может быть как конкретное лицо, так и подразделение. В последнем случае личную ответственность несет руководитель такого подразделения. Этот приказ необходимо довести до сведения всех указанных в нем сотрудников, что должно подтверждаться их подписью.

Шаг 4. На случай проверки во избежание споров с проверяющими лучше подготовить следующие документы:

заявления работников о согласии на обработку персональных данных;
журналы учета персональных данных, их выдачи и передачи другим лицам и представителям различных организаций, государственным органам;
журнал проверок наличия документов, содержащих персональные данные работника.

Шаг 5. Приказом руководителя организации установить перечень мест хранения документации, являющейся носителем персональных данных работников, а также перечень мер, необходимых для обеспечения сохранности персональных данных, порядок их принятия. Все документы, содержащие персональные данные работников, такие как личные дела, картотеки, учетные журналы, следует хранить в специально оборудованных шкафах или сейфах, которые запираются и опечатываются. Трудовые книжки работников нужно хранить в сейфе отдельно от личных дел.

Что можно порекомендовать работодателям во избежание привлечения к ответственности, а также дополнительных затрат в случае проведения проверок? Обязательно проверьте:

от всех ли работников получено согласие на обработку персональных данных;
ознакомлены ли работники с локальными актами, устанавливающими порядок обработки таких данных, и с их правами и обязанностями в этой области;
должным ли образом осуществляется хранение и защита персональных данных;
соответствует ли документация об их обработке требованиям законодательства и т.д.

К общим персональным данным можно отнести следующие сведения:

фамилия, имя, отчество;
дата и место рождения;
адрес (место регистрации);
образование, профессия;
изображение человека (фотография и видеозапись), которое позволяет установить личность и с этой целью используется оператором (Разъяснения Роскомнадзора от 30 августа 2013 года «О вопросах отнесения фото- и видео- изображения, дактилоскопических данных и иной информации к биометрическим персональным данным и особенности их обработки»);
семейное положение, наличие детей, родственные связи;
факты биографии и предыдущая трудовая деятельность (место работы, судимость, служба в армии, работа на выборных должностях, на государственной службе и др.);
финансовое положение. Сведения о заработной плате также являются персональными данными (письмо Роскомнадзора от 07.02.2014 № 08КМ-3681);
деловые и иные личные качества, которые носят оценочный характер;
прочие сведения, которые могут идентифицировать человека.

Кроме того, в Законе о персональных данных упоминаются:

специальные персональные данные (касаются расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни). По общему правилу обработка этих данных не допускается. Исключение — случаи, предусмотренные частью 2 статьи 10 Закона о персональных данных;
биометрические персональные данные (характеризуют физиологические и биологические особенности человека, на основании которых можно идентифицировать его личность). Для обработки таких сведений необходимо согласие субъекта персональных данных. Исключение — случаи, установленные ч. 2 ст. 11 Закона о персональных данных.

в паспорте или ином документе, удостоверяющем личность;
трудовой книжке;
документах о воинском учете, образовании, составе семьи;
справке о доходах с предыдущего места работы;
анкете, заполняемой при трудоустройстве;
личной карточке работника (форма Т-2);
свидетельствах о заключении брака, рождении ребенка;
медицинских справках и др.

Разберем пошагово действия работодателя по учету и хранению персональных данных в организации.

Ознакомиться с Положением о персональных данных, как и с остальными локальными нормативными актами, работник должен до подписания трудового договора (ст. 68 ТК РФ). Ознакомить работника с документом путем рассылки его по электронной почте нельзя, это не будет считаться ознакомлением под подпись.

При отсутствии подписи работника работодатель не сможет доказать, что работник был ознакомлен с данным документом.

Итак, в организации для работы с персональными данными должны быть следующие документы:

Положение о персональных данных.
Приказ о назначении ответственных за работу с персональными данными.
Приказ о назначении ответственных за обеспечение безопасности персональных данных.
Заявления работников на обработку персональных данных.
Договоры (допсоглашения) с работниками об обработке персональных данных.

Также в организации необходимо назначить лицо, ответственное по работе с персональными данными (ч.

5 ст. 88 ТК РФ). Как правило, таким сотрудником является работник службы персонала, поскольку именно он в ходе своей работы чаще всего сталкивается с персональными данными сотрудников.

Статья 87. Хранение и использование персональных данных работников

Федеральный закон «О персональных данных» устанавливает требование, которому должно соответствовать хранение персональных данных, а именно: хранение необходимо осуществлять в форме, позволяющей определить субъекта персональных данных, не дольше, чем того требуют цели их обработки, и они подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в их достижении (ст. 5).

В случае если оператор на основании договора поручает обработку персональных данных другому лицу, существенным условием договора является обязанность обеспечения указанным лицом конфиденциальности персональных данных и безопасности персональных данных при их обработке (ст. 6 Федерального закона «О персональных данных»).

В деятельности юридических лиц образуются бумажные (материальные) носители персональных данных и электронные носители персональных данных (информационные системы и базы данных). К работе и хранению информации на материальных и электронных носителях предъявляются разные требования.

Трудовым кодексом также установлено, что второй экземпляр акта о несчастном случае на производстве, акта о расследовании группового несчастного случая на производстве, тяжелого несчастного случая на производстве, несчастного случая на производстве со смертельным исходом вместе с копиями материалов расследования хранится в течение 45 лет работодателем (его представителем), у которого произошел данный несчастный случай (ч. 6 ст. 230, ч. 2 ст. 230.1).

Итак, начнем с того, что место нахождения персональных данных зависит от их формы. Различают хранение:

на бумажном носителе;
на электронном носителе.

Практика показывает, что большинство ответственных работодателей дублируют информацию, храня документы как в бумажном варианте, так и в электронном. В том и другом случае информация храниться у работодателя, как правило, в отделе кадров и в бухгалтерии. Они запираются на ключ в пожароустойчивых сейфах. Ключ находится у начальника отдела кадров или главного бухгалтера.

Для бумаг бывших работников, как правило, выделяется архивная комната для длительного хранения. В архиве документы хранятся в алфавитном порядке. Указывается срок сдачи в архив и срок окончания хранения. После истечения установленного срока, документы могут быть уничтожены. Электронную информацию хранят в локальной компьютерной сети.

ВАЖНО! Электронную версию документов нужно обеспечить надежной системой паролей, доступ к которым должен быть у ограниченного круга лиц.

Как правило, на случай сбоя или утери основной базы, создают резервную копию для архива, которую размещают на съемном электронном носителе информации.

Не надо путать собственно персональные данные и письменное согласие на их обработку! Статья 5 № 152-ФЗ говорит о ПнД — это ФИО, дата рождения, паспортные и другие сведения о личности субъекта.

Согласие на обработку персональных данных — это устное / письменное разрешение гражданина, которое он дает заинтересованной стороне на осуществление определенных действий с персональными сведениями о себе.

Срок хранения персональных данных работника оговорен в ст. 5 п.7 No-152 ФЗ. Его определяют:

федеральные законы;
сам сотрудник (в договорах, согласии);
достижение цели обработки.

Когда цель обработки ПнД достигнута, личная информация обезличивается, уничтожается, если по отношению к ней не действуют другие нормы, к примеру, федеральные законодательные.

Срок действия разрешения субъекта на обработку его данных устанавливается на основании п. 4/8 ст. 9 No152-ФЗ, а именно — до даты, указанной в самом документе. Хранение согласий на обработку персональных данных нормирует Приказ Росархива от 20.12.2019 N 236 — 3 года после окончания этой даты или отзыва, если иное не предусматривается федеральными законами, договорами.

Особенности хранения персональных данных

Понятие личных данных закреплено в ФЗ России «О персональных данных», по нормам которого под указанную категорию подпадают сведения, используемые для идентификации гражданина. К персональным данным относят:

фамилию, имя и отчество;
дату и место рождения человека;
сведения о зарплате, банковские счета;
информацию о состоянии здоровья.

По нормам трудового законодательства РФ, персональные данные подразумевают сведения о сотруднике, получаемые руководителем в процессе трудовых отношений. Это паспорт, трудовая книжка, идентификационный номер, военный билет, справка о прохождении медкомиссии.

Таким образом с момента оформления на работу гражданин передает служащим компании доступ к персональным данным. Работникам отдела кадров компании запрещено распространение персональных данных без согласования с работником или другого, установленного законодательно основания.

Условия хранения и использования персональных данных установлены законодателем. Несоблюдение требований закона сотрудниками отдела кадров влечет нарушение права граждан на конфиденциальность их личных данных, закрепленного в Конституции РФ.

В соответствии с нормами статьи 87 Трудового кодекса России, порядок хранения и обработки персональных данных сотрудников компании разрабатывается и утверждается руководителем. Та же статья Трудового кодекса регламентирует, что внутренний порядок хранения и использования личных данных сотрудников разрабатывается с учетом законодательных норм. То есть хранится личная информация с учетом требований, закрепленных в Конституции, Трудовом кодексе, ФЗ «О персональных данных» и других нормативных актах.

Сроки хранения документации с персональной информацией сотрудников закреплены Приказом Министерства культуры № 558, принятым в 2010 году. В соответствии с нормативно-правовым актом:

в течение 5 лет хранятся служебные и докладные записки, приказы и выписки из них, командировочные листы, а также справки, не включенные в личные дела;
75 лет – расчетные ведомости и листы о начислении и выдаче заработной платы, премий, пособий и материальной помощи, а также доверенности на получение денег или материальных ценностей;
на протяжении 3 лет должны храниться заявления о приеме на работу или увольнении, анкеты и автобиографии, рекомендательные письма, документация, касающаяся перевода работника на другую должность или новое место службы.

Для обеспечения безопасности хранения и обработки персональных данных разрабатывается специальный акт, именуемый «Соглашением о неразглашении конфиденциальных данных», который подписывают должностные лица, получившие доступ к персональным данным работников компании: как рядовые сотрудники отдела кадров и бухгалтерии, так и руководители отделов и управлений, включая исполнительного и генерального директора компании.

В зависимости от вида персональных данных, различают два носителя конфиденциальной информации:

бумажный;
электронный.

На практике частные компании дублируют данную информацию. То есть хранение персональных данных осуществляется одновременно на бумаге и в электронной форме. За безопасность и неразглашение персональных данных отвечают отдел кадров и бухгалтерия компании. Бумажные носители персональных данных хранятся в сейфе, за ключ от которого отвечает главный бухгалтер компании или начальник отдела кадров.

В государственных учреждениях и частных компаниях работники отдела кадров ведут личные дела сотрудников традиционным способом (в бумажном варианте). В этом случае на каждого сотрудника заводится папка-накопитель, в которую в хронологическом порядке подшивают информацию, относящуюся к персональным данным, в виде оригиналов и копий. При этом закон не регламентирует единого порядка хранения данных дел в частных компаниях.

Хранение ПДн на бумажных носителях

Преимущества	Недостатки
Облегчение учета личных данных – все они хранятся в одном месте.	Увеличение объема работы – регулярная прошивка, нумерация, внесение данных в опись, сверка предоставленных копий данных с оригиналами, архивирование дел.
Четкая систематизация данных.	Необходимость в дополнительных ресурсах для хранения бумажных данных – приобретение сейфов, выделение специальных помещений для хранения дел.
Быстрый поиск по данной информации.	Обучение персонала навыкам работы с данной категорией дел.
	Сложность поиска нужных данных, касающихся отдельного работника.
	Увеличение риска распространения конфиденциальных данных.

Информация с персональными данными сотрудников может распределяться по разным бумажным носителям, и подшивается данная документация в отдельные тематические папки-накопители в соответствии с номенклатурой компании.

Документация, касающаяся персональных данных сотрудников, общего назначения (анкеты, автобиографии, приказы, доверенности, трудовые договоры) хранится в отдельных накопительных папках. Хранят папки с личными данными в сейфах, располагая в алфавитном порядке или согласно номеру регистрации. Хранение персональных данных таким способом требует меньше трудозатрат сотрудников кадровой службы.

Хранение персональных данных на электронных носителях предполагает использование автоматизированных баз данных и защищенных информационных систем. Обработка конфиденциальных данных на электронных носителях имеет ряд преимуществ, однако в таком способе есть и недостатки.

Хранение ПДн на электронных носителях

Преимущества	Недостатки
Снижение расходов на приобретение дополнительных ресурсов для хранения данных.	Необходимость создавать резервные копии баз данных.
Отсутствие необходимости в специальных помещениях для хранения.	Высокая стоимость оборудования и программ, обеспечивающих безопасность персональных данных, которые хранятся на электронном носителе.
Высокая скорость поиска, обработки и использования данных.	Необходимость в обучении персонала навыкам администрирования для пользования электронными данными.
Защищенность конфиденциальных данных от несанкционированного доступа.	Сотрудники, получившие доступ к данным, должны уметь работать с электронными носителями информации.
Неограниченный срок хранения данных (в отличие от бумажных носителей).
Автоматическая архивация данных.

Для защиты электронных баз данных и хранящейся на них личной информации:

внедряют уровни доступа сотрудников к данным хранилищам;
ограничивают свободный вход работников без специального допуска в помещения, где установлено оборудование для обработки данной информации;
четко регламентируют хранение, обработку и учет данной информации и электронных носителей.

Чтобы не допустить нарушения конфиденциальности личной информации сотрудников и избежать привлечения к ответственности, руководителю компании следует проверить:

получено ли согласие сотрудников на хранение и обработку данной информации;
ознакомлены ли под подпись сотрудники с внутренними актами, регламентирующими порядок использования данной информации;
уровень защиты личных сведений;
соответствие внутренних актов по обработке и хранению конфиденциальной информации нормам закона.

Каждый из методов хранения личной информации имеет ряд преимуществ и недостатков. Поэтому на практике сочетают оба метода: ведут личные дела и дублируют сведения на электронных носителях.

Бизнес: • Банки • Богатство и благосостояние • Коррупция • (Преступность) • Маркетинг • Менеджмент • Инвестиции • Ценные бумаги: • Управление • Открытые акционерные общества • Проекты • Документы • Ценные бумаги — контроль • Ценные бумаги — оценки • Облигации • Долги • Валюта • Недвижимость • (Аренда) • Профессии • Работа • Торговля • Услуги • Финансы • Страхование • Бюджет • Финансовые услуги • Кредиты • Компании • Государственные предприятия • Экономика • Макроэкономика • Микроэкономика • Налоги • Аудит
Промышленность: • Металлургия • Нефть • Сельское хозяйство • Энергетика
Строительство • Архитектура • Интерьер • Полы и перекрытия • Процесс строительства • Строительные материалы • Теплоизоляция • Экстерьер • Организация и управление производством

Бытовые услуги • Телекоммуникационные компании • Доставка готовых блюд • Организация и проведение праздников • Ремонт мобильных устройств • Ателье швейные • Химчистки одежды • Сервисные центры • Фотоуслуги • Праздничные агентства

Прежде всего, это разные категории персональных данных (ПД), которые вместе (на одних материальных носителях) храниться не должны. В частности, в силу статьи 5 3. Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных» не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой. Таким образом, нельзя в одной базе данных (БД) хранить данные сотрудников и данные пользователей сайта.

Кроме того, положения Федерального закона от 27.07.2006 N 152-ФЗ распространяются только на персональные данные граждан РФ. Иными словами, ПД иностранных сотрудников можно обрабатывать вообще без учета положений Федерального закона от 27.07.2006 N 152-ФЗ. Кроме того, ПД работников могут вообще не содержаться в БД, а размещаться на бумажных носителях.

Если же речь идет о ПД российских работников, то процесс хранения ПД работников и ПД пользователей сайтов связан с выбором одного из четырех типов угрозы. В зависимости от типа угрозы определяется необходимый уровень защищенности (чем выше тип угрозы, тем более высокий уровень защищенности требуется).

Тип угрозы определяется оператором с учетом оценки возможного вреда. А необходимый уровень защищенности и принимаемые меры устанавливается в соответствии с Приказом ФСТЭК России от 18.02.2013 N 21 и Постановлением Правительства РФ от 01.11.2012 N 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».

Например, если обрабатываются специальные категории персональных данных (сведения о состоянии здоровья, интимной жизни, религиозные и философские убеждения, национальность и т.п.), то уровень защищенности для них должен быть выше. Соответственно, предоставления всех этих данных от работника не требуется, что может повлиять на характер принимаемых мер (чем выше уровень, тем серьезнее меры).

Например, при обработке персональных данных сотрудников применяется требуется обеспечить 4-й уровень защищенности (самый низкий). Если же обрабатываются специальные категории (раса, национальность и т.п.) в информационных системах, где количество пользователей свыше 10 000 человек, то уровень защищенности должен быть 1-й или 2-й (в зависимости от типа угрозы).

Персональные данные: как хранить, обрабатывать и защищать по закону

УПД.1

Управление (заведение, активация, блокирование и уничтожение) учетными записями пользователей, в том числе внешних пользователей

УПД.2

Реализация необходимых методов (дискреционный, мандатный, ролевой или иной метод), типов (чтение, запись, выполнение или иной тип) и правил разграничения доступа

УПД.3

Управление (фильтрация, маршрутизация, контроль соединений, однонаправленная передача и иные способы управления) информационными потоками между устройствами, сегментами информационной системы, а также между информационными системами

УПД.4

Разделение полномочий (ролей) пользователей, администраторов и лиц, обеспечивающих функционирование информационной системы

УПД.5

Назначение минимально необходимых прав и привилегий пользователям, администраторам и лицам, обеспечивающим функционирование информационной системы

УПД.6

Ограничение неуспешных попыток входа в информационную систему (доступа к информационной системе)

УПД.7

Предупреждение пользователя при его входе в информационную систему о том, что в информационной системе реализованы меры по обеспечению безопасности персональных данных, и о необходимости соблюдения установленных оператором правил обработки персональных данных

УПД.8

Оповещение пользователя после успешного входа в информационную систему о его предыдущем входе в информационную систему

УПД.9

Ограничение числа параллельных сеансов доступа для каждой учетной записи пользователя информационной системы

УПД.10

Блокирование сеанса доступа в информационную систему после установленного времени бездействия (неактивности) пользователя или по его запросу

УПД.11

Разрешение (запрет) действий пользователей, разрешенных до идентификации и аутентификации

ОПС.1

Управление запуском (обращениями) компонентов программного обеспечения, в том числе определение запускаемых компонентов, настройка параметров запуска компонентов, контроль за запуском компонентов программного обеспечения

ОПС.2

Управление установкой (инсталляцией) компонентов программного обеспечения, в том числе определение компонентов, подлежащих установке, настройка параметров установки компонентов, контроль за установкой компонентов программного обеспечения

ОПС.3

Установка (инсталляция) только разрешенного к использованию программного обеспечения и (или) его компонентов

ОПС.4

Управление временными файлами, в том числе запрет, разрешение, перенаправление записи, удаление временных файлов

АВЗ.1

Реализация антивирусной защиты

АВЗ.2

Обновление базы данных признаков вредоносных компьютерных программ (вирусов)

СОВ.1

Обнаружение вторжений

СОВ.2

Обновление базы решающих правил

АНЗ.1

Выявление, анализ уязвимостей информационной системы и оперативное устранение вновь выявленных уязвимостей

АНЗ.2

Контроль установки обновлений программного обеспечения, включая обновление программного обеспечения средств защиты информации

АНЗ.3

Контроль работоспособности, параметров настройки и правильности функционирования программного обеспечения и средств защиты информации

АНЗ.4

Контроль состава технических средств, программного обеспечения и средств защиты информации

АНЗ.5

Контроль правил генерации и смены паролей пользователей, заведения и удаления учетных записей пользователей, реализации правил разграничения доступа, полномочий пользователей в информационной системе

Правила обработки, хранения и уничтожения персональных данных

По общему правилу, если Вы обрабатываете (например, храните обращения граждан), то всегда лучше иметь согласие лица на обработку его персональных данных. Примерную форму такого согласия можно найти по ссылке.

Естественно, в работе правозащитных организаций иногда получить согласие человека невозможно. Например, при похищении человека или при применении пыток к заключенному. В законодательстве есть ряд исключений, которые позволяют обрабатывать персональные данные без согласия. Поэтому при работе с такими обращениями важно понимать, в какую категорию исключений они могут попасть (на случай, если к Вам после публикаций придет Роскомнадзор с проверкой). Но их немного:

Если обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, и если получение согласия субъекта персональных данных невозможно. Как только угроза жизни или здоровью прекращается, обработка должна быть прекращена. При этом понять, когда, по мнению Роскомнадзора, угрозу можно считать прекращенной, например, при жалобах на пытки в СИЗО, не совсем ясно. Очевидно одно, что в течение короткого времени, данное исключение будет позволять работать с персональными данными, но если есть перспектива долгосрочной работы над обращением, лучше взять согласие.

Если есть договор между организацией и лицом (например, родственником пропавшего), в котором бенефициаром (человеком, в пользу которого договор исполняется) является лицо, чьи персональные данные подлежат обработке. Это может быть договор оказания услуг (например, юридических, и например, на безвозмездной основе). Поэтому если получение согласие от субъекта персональных данных никак невозможно, то рекомендуем заключить подобный договор с родственником. В таком случае, Вам будет, что предъявить Роскомнадзору при внеплановой проверке.

Однако если Вы обрабатываете данные, которые относятся к категории «специальные персональные данные» (это данные относительно расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни), то нужно обязательно брать согласие человека.

Может быть, помните, что начиная с лета 2014 года было много шума из-за принятия закона о персональных данных (№242-ФЗ)? Этот закон обязывает операторов персональных данных обеспечить запись, хранение (и прочие операции) персональных данных граждан РФ с использованием баз данных на территории РФ с 1 сентября 2015 года. Это означает, что персональные данные наших соотечественников должны храниться на российской территории. Однако это не означает, что за рубежом они не могут храниться вовсе. Согласно позиции Министерства связи, хранение данных за пределами РФ является возможным, если первоначальная обработка осуществлялась на территории РФ. Другими словами, можно иметь две базы данных – одна в России, а другая – за рубежом. При этом Роскомнадзор, скорее всего, не сможет проверить, насколько эти базы идентичны.

Внесены изменения в акты Правительства в связи с принятием ФЗ «Об электронной подписи»

Правительство Российской Федерации постановляет:

1. Утвердить прилагаемые требования к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных.

2. Настоящее постановление вступает в силу по истечении 6 месяцев со дня его официального опубликования.

Председатель Правительства Российской Федерации

В. Путин

Требования к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных

1. Настоящие требования применяются при использовании материальных носителей, на которые осуществляется запись биометрических персональных данных, а также при хранении биометрических персональных данных вне информационных систем персональных данных.

2. В настоящих требованиях под материальным носителем понимается машиночитаемый носитель информации (в том числе магнитный и электронный), на котором осуществляются запись и хранение сведений, характеризующих физиологические особенности человека и на основе которых можно установить его личность (далее — материальный носитель).

3. Настоящие требования не распространяются на отношения, возникающие при использовании:

а) оператором информационной системы персональных данных (далее — оператор) материальных носителей для организации функционирования информационной системы персональных данных, оператором которой он является;

б) бумажных носителей для записи и хранения биометрических персональных данных.

4. Материальный носитель должен обеспечивать:

а) защиту от несанкционированной повторной и дополнительной записи информации после ее извлечения из информационной системы персональных данных;

б) возможность доступа к записанным на материальный носитель биометрическим персональным данным, осуществляемого оператором и лицами, уполномоченными в соответствии с законодательством Российской Федерации на работу с биометрическими персональными данными (далее — уполномоченные лица);

в) возможность идентификации информационной системы персональных данных, в которую была осуществлена запись биометрических персональных данных, а также оператора, осуществившего такую запись;

г) невозможность несанкционированного доступа к биометрическим персональным данным, содержащимся на материальном носителе.

5. Оператор утверждает порядок передачи материальных носителей уполномоченным лицам.

6. Материальный носитель должен использоваться в течение срока, установленного оператором, осуществившим запись биометрических персональных данных на материальный носитель, но не более срока эксплуатации, установленного изготовителем материального носителя.

7. Тип материального носителя, который будет использован для обработки биометрических персональных данных, определяет оператор, за исключением случаев, когда нормативными правовыми актами Российской Федерации предписано использование материального носителя определенного типа.

8. Оператор обязан:

а) осуществлять учет количества экземпляров материальных носителей;

б) осуществлять присвоение материальному носителю уникального идентификационного номера, позволяющего точно определить оператора, осуществившего запись биометрических персональных данных на материальный носитель.

9. Технологии хранения биометрических персональных данных вне информационных систем персональных данных должны обеспечивать:

а) доступ к информации, содержащейся на материальном носителе, для уполномоченных лиц;

б) применение средств электронной цифровой подписи или иных информационных технологий, позволяющих сохранить целостность и неизменность биометрических персональных данных, записанных на материальный носитель;

в) проверку наличия письменного согласия субъекта персональных данных на обработку его биометрических персональных данных или наличия иных оснований обработки персональных данных, установленных законодательством Российской Федерации в сфере отношений, связанных с обработкой персональных данных.

10. В случае если на материальном носителе содержится дополнительная информация, имеющая отношение к записанным биометрическим персональным данным, то такая информация должна быть подписана электронной цифровой подписью и (или) защищена иными информационными технологиями, позволяющими сохранить целостность и неизменность информации, записанной на материальный носитель.

Использование шифровальных (криптографических) средств защиты информации осуществляется в соответствии с законодательством Российской Федерации.

Первично согласование работ было произведено в июне 2019 года, что можно считать датой начала проекта. Все работы должны быть производиться на «живом» окружении с тысячами запросов в день. Естественно, требовалось выполнить проект, не прерывая штатный режим работы обеих систем.

Поэтому был составлен и согласован четкий план действий, разделенный на 4 этапа:

подготовка,
миграция,
тестирование и проверка в реальных условиях,
включение систем мониторинга и ограничения доступа.

На всякий случай мы предусмотрели процедуру восстановления в случае непредвиденной ситуации (DRP). По первоначальному плану работы не занимали много времени и ресурсов и должны были завершиться в июле 2019. Каждый из этапов предусматривал в конце полное тестирование сетевой доступности и функциональности систем.

Самым сложным этапом, в котором могло «что-то пойти не так», была миграция. Изначально мы планировали проводить миграцию путем переноса виртуальных машин целиком. Это был самый логичный вариант, поскольку он не требовал вовлечения дополнительных ресурсов для переконфигурирования. Казалось бы, что может быть проще vMotion.

Обязанности работника по обработке ПДн с использования средств автоматизации:

2000 год
51–100 человек
21 февраля 2019 г.

Сутки
Неделя
Месяц

Статья 86 ТК РФ обязывает работодателя принять локальный нормативный акт (далее – ЛНА), который будет регулировать порядок хранения и использования персональных данных. Таким актом обычно является положение о защите персональных данных работников.

Согласно п. 8 ст. 86 ТК РФ работники должны быть ознакомлены под роспись с таким положением. Если работник принимается на работу и в организации уже есть такое положение, то он знакомится с ним до подписания трудового договора в силу ч. 3 ст. 68 ТК РФ.

Обязательное наличие в организации ЛНА, закрепляющего порядок хранения и использования персональных данных, подтверждается также судебной практикой (см. постановление Мирового судьи Судебного участка № 1 Воробьевского района Воронежской области от 30.06.2017 по делу № 5-209/2017).

Пример положения о защите персональных данных приведен в Приложении.

Согласно п. 1 ст. 22.1 Федерального закона № 152-ФЗ работодателю необходимо назначить лицо, ответственное за обработку персональных данных. Он будет следить за сохранностью персональных данных как на бумажных носителях, так и в электронном виде.

Можно назначить двух ответственных: одного – за работу с персональными данными на бумажных носителях (например, специалиста отдела кадров), другого – за работу с персональными данными в электронном виде (например, системного администратора).

Назначение ответственного лица оформляется приказом (Пример 1). Данная обязанность отражается в должностной инструкции работника.

Шаг 4. Закрепляем права доступа к персональным данным в приказе

Согласно ст. 88 ТК РФ работодатель обязан разрешить доступ к персональным данным работников только специально уполномоченным на это лицам. Необходимо определить, кто работает с персональными данными работников. Именно этим специалистам и необходимо дать доступ к «секретным материалам», оформив приказ (Пример 2).

В приказе согласно закону необходимо отразить, кто (должности, Ф.И.О.), к каким персональным данным и с какой целью (какие функции выполняет с использованием персональных данных работников) имеет доступ; отразить данные о сотрудниках, имеющих доступ к персональным данным как на бумажных носителях, так и в электронном виде.

[1] См. также Куролес И.И. Конфиденциальность информации. Что нужно знать секретарю // Секретарь-референт 2018. № 1. С. 78.

[2] В ред. от 29.07.2017, далее – Федеральный закон № 152-ФЗ.

[3] Пункт 1 части первой ст. 3 Федерального закона № 152-ФЗ.

Ю.Ю. Жижерина, независимый консультант по трудовому праву

Материал публикуется частично. Полностью его можно прочитать в журнале «Секретарь-референт» № 5, 2018.

Обязанности работника по обработке ПДн без использования средств автоматизации:

Способы защиты документов: прошивка, опломбирование, скрепление сургучной печатью

Конфиденциальность информации. Что нужно знать секретарю

Каждому техническому специалисту: строителю, проектировщику, энергетику, специалисту в области охраны труда.

В состав персональных данных работников Организации входят документы, содержащие информацию о паспортных данных, образовании, отношении к воинской обязанности, семейном положении, месте жительства, состоянии здоровья, а также о предыдущих местах их работы.

Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.
В ИС допускается использование только учтённых машинных носителей информации, которые являются собственностью Средней школы № 66 и подвергаются регулярной ревизии и контролю.

Клиент (субъект персональных данных) — физическое лицо, потребитель услуг ООО «Салон онлайн», далее «Организация».

Обратите внимание на то, что обработка персональных данных осуществляется с согласия работника (п. 1 ч. 1 ст. 6, ст. 9 Закона N 152-ФЗ). На основании ст. 9 Закона N 152-ФЗ согласие на обработку персональных данных должно быть конкретным, информированным и сознательным.

Информация об использовании работником Средней школы № 66 машинных носителей информации в ИС протоколируется и, при необходимости, может быть предоставлена ответственному лицу за организацию обработки персональных данных в Средней школе № 66.

Совсем недавно работе с персональными данными не уделялось должного внимания, а процедуры по их сбору, обработке, передачи и хранению практически никак не регулировались правом, а каждая компания старалась привнести что-то свое в реализацию данных процедур. Но с недавнего времени сохранности личных данных стали уделять должное внимание.

Так, в НК РФ установлен предельный четырехлетний срок хранения документов бухгалтерского и налогового учета, которые необходимы для исчисления и уплаты налогов. Данный срок в соответствии с п.п. 8 п. 1 ст. 23 НК РФ распространяется и на документы, подтверждающие получение доходов, осуществление расходов (для организаций и индивидуальных предпринимателей), а также уплату (удержание) налогов.

6 Передача персональных данных

В зависимости от вида персональных данных, различают два носителя конфиденциальной информации:

На практике частные компании дублируют данную информацию. То есть хранение персональных данных осуществляется одновременно на бумаге и в электронной форме.

За безопасность и неразглашение персональных данных отвечают отдел кадров и бухгалтерия компании.

Бумажные носители персональных данных хранятся в сейфе, за ключ от которого отвечает главный бухгалтер компании или начальник отдела кадров.

Хранение ПДн на электронных носителях

Преимущества	Недостатки
Снижение расходов на приобретение дополнительных ресурсов для хранения данных.	Необходимость создавать резервные копии баз данных.
Отсутствие необходимости в специальных помещениях для хранения.	Высокая стоимость оборудования и программ, обеспечивающих безопасность персональных данных, которые хранятся на электронном носителе.
Высокая скорость поиска, обработки и использования данных.	Необходимость в обучении персонала навыкам администрирования для пользования электронными данными.
Защищенность конфиденциальных данных от несанкционированного доступа.	Сотрудники, получившие доступ к данным, должны уметь работать с электронными носителями информации.
Неограниченный срок хранения данных (в отличие от бумажных носителей).
Автоматическая архивация данных.

Для защиты электронных баз данных и хранящейся на них личной информации:

внедряют уровни доступа сотрудников к данным хранилищам;
ограничивают свободный вход работников без специального допуска в помещения, где установлено оборудование для обработки данной информации;
четко регламентируют хранение, обработку и учет данной информации и электронных носителей.

Естественно, в работе правозащитных организаций иногда получить согласие человека невозможно. Например, при похищении человека или при применении пыток к заключенному.

В законодательстве есть ряд исключений, которые позволяют обрабатывать персональные данные без согласия.

Согласно закону ФЗ-152, любые лица, имеющие доступ к какой-либо категории персональных сведений других граждан, не имеют права осуществлять распространение полученного третьим лицам. Распространение возможно лишь в ситуациях, если сам субъект дал на это согласия.

Чтобы обеспечить качественную защиту потребуется:

Хранить все собранные ПД в защищенном, надежном месте – обезопасить их от любых утечек информации или взлома.
Первичную базу сбора информации необходимо содержать на территории Российской Федерации.
Все сведенья разделяются на категории и, соответственно, степень их защищенности зависит от полученной категории.
Сохранять необходимо лишь выбранные данные, необходимые для дальнейшей работы. Всю ненужную информацию следует сразу же удалять, чтобы избежать наказания в виде штрафа.

Открывая бизнес по предложению услуг сотовой связи, становясь провайдером интернета или интернет-компанией, по действующим законам, придется хранить помимо ПД еще и копии переписки пользователей.

Согласно Постановлению правительства РФ №1119, все персональные данные гражданина можно разделить на три основные категории. По этим категориям в конечном итоге определяется и их уровень защиты:

Специальная категория – данные о личной, интимной жизни гражданина, его религиозные, политические и философские взгляды на жизнь. Также сюда относятся сведенья о гражданстве.
Биометрическая категория – снимки гражданина, его рост, вес, отпечатки пальцев. В общем, это физиологические и биологические сведенья про человека.
Общая категория – все персональные данные, которые гражданин самостоятельно предоставил в открытый доступ (к примеру, заполнение информации «о себе» в социальных сетях).
Другие категории – любые данные, не подходящие под три предыдущие категории.

По количеству субъектов, чьи данные хранятся одновременно, разделяют:

Менее 100 000 граждан.
Более 100 000 граждан.