Какие локальные акты по персональным данным должны быть у работодателя
Перечень и содержание конкретных документов всегда зависят от специфики деятельности организации.
Например:
- сколько у нее видов деятельности;
- с какими категориями граждан она работает — только работники или еще клиенты, посетители и другие физлица;
- в каком объеме организация собирает личную информацию о них;
- как она обрабатывает персональные данные (ПД) — неавтоматизированным способом или с помощью информационной системы;
- работает ли компания с информацией о гражданах самостоятельно или передала их обработку другому лицу.
Но есть ряд обязательных документов по персональным данным в организации. Это локальные нормативные акты, которые нужно принимать с учетом мнения профсоюза, и локальные акты, которые утверждаются работодателем без согласования с профсоюзом.
Руководитель компании самостоятельно определяет конечный перечень документов по защите персональных данных, не игнорируя законодательные требования. Например, список локальных актов для интернет-магазина, где есть наемные работники.
Он может выглядеть так:
- политика об обработке персональных данных;
- регламент (порядок, положение) обработки ПД;
- положение об обработке персональных данных работников;
- перечень должностей сотрудников, имеющих доступ к ПД, и объем доступа;
- реестр ПД;
- положение о защите персональных данных в информационной системе — веб-сайте;
- формы согласия на обработку ПД, договора-оферты с покупателем;
- приказ о назначении ответственного за организацию обработки персональных данных.
Важно! Правила в локальных актах не могут ограничивать права субъекта ПД, а также давать оператору не предусмотренные законодательно полномочия и обязанности — п. 2. ч. 1 ст. 18.1 Закона №152-ФЗ.
Как составить Политику обработки и защиты персональных данных
Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к Политике обработки ПД — ст. 18.1 Закона №152-ФЗ. Документ размещают на сайте компании, если он есть. То есть в сети Интернет можно найти образцы локальных актов в сфере персональных данных, в том числе Политику оператора.
Но мы не советуем их использовать, поскольку каждая организация имеет свою специфику. То, что применимо и проверено в одной компании, может не работать в другой. И Политика обработки персональных данных изначально не будет выполняться.
Для разработки собственного документа воспользуйтесь рекомендациями Роскомнадзора и Законом №152-ФЗ.
Политика об обработке ПД состоит из разделов:
- Общие положения;
- Цели обработки персональных данных;
- Правовые основания обработки ПД;
- Объем и категории обрабатываемых персональных данных, категории субъектов персональных данных;
- Порядок и условия обработки ПД;
- Актуализация, исправление, удаление и уничтожение ПД, ответы на запросы субъектов на доступ к персональным данным.
Рассмотрим их примерное содержание.
Общие положения
Здесь описывают назначение документа, а также приводят основные термины и определения по ст. 3 Закона №152-ФЗ. Также в разделе приводят права, обязанности оператора и субъекта ПД.
Для описания назначения Политики можно использовать формулировку «Защита прав субъектов персональных данных при обработке их персональных данных. Установление принципов работы компании с ПД».
Цели сбора персональных данных
В этом разделе указывают, для чего оператору нужна личная информация физических лиц: работников, клиентов, посетителей. Цели обработки определяют исходя из видов деятельности компании и ИП по учредительным документам, их бизнес-процессов, требований законодательства.
Некоторые компании при описании целей ограничиваются одним предложением «Организация собирает и использует персональные данные для своей уставной деятельности и выполнения требований законодательства РФ». Это универсальная формулировка, но к ней могут быть претензии у тех же субъектов ПД. Оператор нужно будет доказывать, что он не собирает избыточную личную информацию.
Правовые основания обработки персональных данных
Здесь указывают законы и нормативные акты, в соответствии с которыми нужна личная информация граждан при осуществлении определенного вида деятельности. Например, сведения о работниках собирают по требованиям Трудового кодекса, Налогового кодекса, законов о социальном страховании и бухгалтерском учете, нормативных актов по воинскому учету.
Также правовым основанием могут служить уставные документы оператора, договор между ним и клиентом, согласие на обработку персональных данных.