Здравствуйте, в этой статье мы постараемся ответить на вопрос: «Организация защиты персональных данных работников». Если у Вас нет времени на чтение или статья не полностью решает Вашу проблему, можете получить онлайн консультацию квалифицированного юриста в форме ниже.
Статья о неразглашении персональных данных третьим лицам содержится в ФЗ № 152 от 27.06.2006 (ст. 7). Но факт существования этой статьи не предоставляет право директору бюджетной организации по умолчанию возлагать ответственность на работников, которые имеют доступ к личным данным.
Что относится к персональным данным работника
Персональные данные работника — это любая информация прямо или косвенно относящаяся к сотруднику, имеющаяся у работодателя.
К персональным данным относятся:
- фамилия, имя, отчество;
- пол, возраст;
- паспортные данные, СНИЛС, ИНН;
- образование, квалификация, профессиональная подготовка и сведения о повышении квалификации;
- место жительства;
- семейное положение, наличие детей, родственные связи;
- факты биографии и предыдущая трудовая деятельность (место работы, судимость, служба в армии, работа на выборных должностях, на государственной службе и др.);
- финансовое положение. Сведения о заработной плате также являются персональными данными (Письмо Роскомнадзора от 07.02.2014 N 08КМ-3681);
- деловые и иные личные качества, которые носят оценочный характер;
- номер телефона или электронная почта;
- прочие сведения, которые могут идентифицировать человека.
Ответственность за нарушение
В ст. 24 ФЗ № 152 говорится, что нарушение правил обращения с личной информацией о сотрудниках влечет за собой ответственность, установленную федеральным законодательством. Ее характер прописан в ст. 13.14 КоАП РФ. Нарушения, касающиеся разглашения личных сведений, влекут за собой наложение административных штрафов на граждан в размере от 500 до 1 000 рублей, на должностных лиц в размере от 4 000 до 5 000 рублей.
В 2020 году размеры штрафов составляют:
- для граждан — от 1000 до 3000 рублей;
- для должностных лиц — от 5000 до 10 000 рублей;
- для предприятий — от 30 000 до 50 000 рублей.
Обязательство о неразглашении персональных данных
понимаю, что получаю доступ к персональным данным работников ИП Шулягина Игоря Валентиновича и во исполнение своих трудовых обязанностей согласно занимаемой должности осуществляю их обработку, в том числе сбор, запись, систематизацию, накопление, хранение, уточнение, использование и передачу.
Я понимаю, что разглашение такого рода информации может нанести прямой ущерб работникам ИП Шулягина Игоря Валентиновича, а также самому индивидуальному предпринимателю.
В связи с изложенным даю обязательство при обработке персональных данных работников ИП Шулягина Игоря Валентиновича строго соблюдать требования действующего законодательства, определяющего порядок обработки персональных данных, а также Положения о персональных данных, утвержденного приказом от 11.02.2020 г. Я подтверждаю, что при отсутствии условий, предусмотренных действующим законодательством, не имею права разглашать сведения о работниках, относящиеся к категории их персональных данных, в том числе сведения о биографических, анкетных, паспортных данных, трудовом и общем стаже, образовании, заработной плате, занимаемой должности и т.п.
Я предупреждена о том, что в случае нарушения мною требований действующего законодательства и (или) Положения о персональных данных, в том числе в случае незаконного разглашения или утраты персональных данных работников, я несу ответственность в соответствии с действующим законодательством, в частности ст. 90 Трудового кодекса РФ.
Ответственность за огласку конфиденциальной информации
Лица, которые составили обязательство, после лишения доступа к персональным данным должны еще 1 год сохранять конфиденциальность этих сведений. В противном случае они могут столкнуться со следующими видами наказания.
- Дисциплинарная ответственность по ст. 192 ТК РФ – замечание, выговор или увольнение нарушителя.
- Материальная ответственность – если уполномоченный сотрудник разгласил персональные данные, вследствие чего работодатель понес материальный ущерб. Однако данный вид ответственности применяется только в том случае, если в соглашении между работодателем и подчиненным предусмотрен такой вариант наказания.
- Гражданско-правовая ответственность – вид наказания, при котором нарушитель возмещает пострадавшей стороне моральный ущерб.
- Административная ответственность: физические лица рискуют получить штраф в размере 500-1000 рублей, должностные – 4000-5000 рублей.
- Уголовная ответственность устанавливается, если человек, имевший доступ к конфиденциальной информации, выложил сведения в СМИ, интернете. В этом случае нарушителю грозит крупный штраф или тюремное заключение.
Составление обязательства о неразглашении персональных данных
Документ оформляется письменно. В дальнейшем при спорных ситуациях он выступит доказательством того факта, что ответственное лицо действительно знало о том, что оно было обязано соблюдать конфиденциальность вверенной ему информации.
Ответственность за огласку конфиденциальной информации
Лица, которые составили обязательство, после лишения доступа к персональным данным должны еще 1 год сохранять конфиденциальность этих сведений. В противном случае они могут столкнуться со следующими видами наказания.
Обязательство о неразглашении персональных данных
Персонал бюджетной организации, имеющий доступ к информации о сотрудниках, обязан подписать документ, который предусматривает неразглашение персональных данных. Это понятие включает в себя:
- Свободу и защиту прав работников, что контролируется федеральным законодательством. Семейные тайны и личная жизнь сотрудников являются тайной и не должны разглашаться третьим лицам.
- Бумажное закрепление в виде приказа данных прав, в котором прописывают число работников, имеющих право доступа к сведениям о сотрудниках предприятия.
В оформленном документе работники предоставляются и снимают с себя право:
- передавать такую информацию персонала третьим лицам;
- использовать контактные данные и любые сведения о работниках с целью извлечения выгоды;
- скрывать информацию о том, что кто-то пытается получить данные о персонале.
Обязательство о неразглашении сведений о гражданах, трудоустроенных на предприятии, составляется в произвольной форме. Конкретный бланк в законодательных регламентах отсутствует. Каждая организация имеет право по собственному усмотрению разработать типовой формуляр, включить в него определенный перечень информации для достижения максимальной степени защиты. Шаблон утверждается внутренним приказом, является составной частью документооборота компании.
Большинство письменных расписок о сохранности закрытых данных содержат следующие графы:
- Полностью фамилию, имя, отчество, паспортные данные лица, получившего сведения в обработку.
- Место работы гражданина (полное или сокращенное наименование организации).
- Указание занимаемой должности.
- Подтверждение принятия для работы персональных данных трудящихся.
- Краткое перечисление предмета обязательства.
- Резолюция на сбор, хранение, систематизацию документации, полученной от граждан.
- Подпись и дата.
В какой форме заключается документ
Обязательство о неразглашении данных составляется в письменной форме. Чаще всего его текст набирается на компьютере, распечатывается и передается лицу, которое будет заниматься обработкой, для ознакомления и подписания (под текстом проставляется дата, подпись и ее расшифровка).
Важно! В законе нет положений, предусматривающих составление обязательства о неразглашении в письменной форме.
Однако именно такое оформление, прочно укрепившееся в обычаях делового оборота, легко позволяет доказать факт соблюдения оператором требований, установленных п. 6.6 Положения.
Важно! Вместо обязательства о неразглашении личной информации может быть оформлено такое же соглашение.
Разница между этими документами будет только в том, что первое является некой распиской конкретного лица, а второе отражает договоренность двух сторон (например, работодателя и сотрудника).
Что по этому поводу говорит закон
Статья о неразглашении персональных данных третьим лицам (ст. 7) содержится в . Однако просто существование закона «О защите персональных данных» еще не дает права работодателю по умолчанию накладывать ответственность на сотрудников, имеющих доступ к личным сведениям. Необходимость оформления обязательства о неразглашении информации продиктована Постановлением Правительства от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации». В соответствии с пунктом 6 Постановления, «лица, осуществляющие обработку … данных … должны быть проинформированы о факте обработки ими персональных данных, … а также об особенностях и правилах осуществления такой обработки, установленных нормативными правовыми актами…». Кроме того, обязательной к исполнению мерой по защите личной информации является назначение приказом лиц, ответственных за обработку (ч. 1 ст. 22.1 ).
Требования к соглашению
Пункт 8 ст. 86 ТК РФ обязывает работодателя под подпись знакомить сотрудников организации с их правами и обязанностями в сфере обработки и сохранения информации относящейся к категории персональных данных.
Соглашение, как правило, оформляется в виде бумажного документа, в котором следует отобразить все необходимые для составления договора детали.
При заключении договора следует не только разъяснить работнику о необходимости правильно сохранять и обрабатывать персональные данные , но и объяснить важность максимально быстрого информирования вышестоящего начальства в случае непреднамеренной утраты таких документов. Работник должен чётко уяснить для себя, что в случае нарушения законодательства в сфере защиты личной информации, в отношении него будут предприняты меры, вплоть до уголовного преследования. Кроме этого работник будет уволен с занимаемой должности и ему запретят заниматься определёнными видами деятельности в течение нескольких лет.
Как правильно оформить приказ о персональных данных
Хотя образец приказа о персональных данных работников 2021 года не имеет установленной формы, его необходимо оформить по общим требованиями к распорядительным документам.
В шапке документа содержится наименование организации, наименование и номер документа, место и дата составления.
Преамбула должна содержать обоснование его издания (обстоятельства, ставшие причиной для его создания) либо основание (прямая ссылка на конкретный документ или законодательный акт)
Основная часть приказа о персональных данных должна содержать:
- собственно распоряжение об утверждении положения о персональных сведениях, а также о перечне допущенных к их обработке лиц и степени их допуска;
- указание на лицо, ответственное за обеспечение процесса обработки данных, его должность и Ф.И.О.;
- указание ответственному лицу ознакомить работников с распорядительным документом;
- определить работника, который будет контролировать исполнение (может быть сам руководитель).
Руководитель должен подписать документ. Все работники учреждения, использующие в трудовой деятельности подобную информацию, должны быть ознакомлены с ним под подпись.
Ответственность за разглашение персональных данных
Всем работающим на предприятии необходимо внимательно подходить к сохранности и обработке используемых ими сведений о коллегах. Важно, чтобы сотрудник знал, что ему предоставляется доступ к особо охраняемым данным, и принял на себя обязательство соблюдать требования по обращению с ними, в том числе о неразглашении персональной информации.
Согласно ст. 90 ТК РФ, нарушение норм, регулирующих обработку и защиту персональных данных работника, влечет дисциплинарную, материальную, гражданско-правовую, административную и уголовную ответственность.
Для работника существует опасность увольнения на основании пп. «в» п. 6 ч. 1 ст. 81 ТК РФ за такие нарушения, как разглашение коммерческой тайны, которая стала известна работнику при выполнении им трудовой функции, или разглашение конфиденциальной информации другого сотрудника.
Однако чтобы уволить по этой статье, работодателю придется доказать, что работник разгласил секретные данные (сообщил, переслал, передал, опубликовал и т. д.) либо допустил разглашение охраняемой им информации таким образом, что она стала известна третьим лицам. А также, что разглашенная информация является охраняемой в соответствии с законодательством РФ.
В КоАП введена отдельная статья о неразглашении персональных данных третьим лицам (13.14 КоАП РФ). Она предполагает наказание в виде штрафа для физических лиц — от 500 до 1000 рублей, а для должностных лиц — в размере от 4000 до 5000 рублей.
Проверяет, насколько эффективно организация и ее должностные лица «скрывают» личную информацию от посторонних, Роскомнадзор. Порядок осуществления плановых и внезапных ревизий прописаны в Постановлении Правительства от 13.02.2019 № 146. Объявление о грядущей проверке (копию приказа о назначении проверки) организации должны прислать минимум за 24 часа, если визит незапланированный, и за 3 дня, если проверка включена в план.