Хранение персональных данных

Хранение персональных данных

Еще совсем недавно вопрос о безопасном хранении персональной информации работников не привлекал столько внимания, как сейчас.

Российское законодательство требует от работодателей разработки комплекса мер по защите данных сотрудников. За несоблюдение этих требований руководителям предприятий грозит наказание в виде штрафов, приостановления лицензии, и даже ареста.

Вот почему многие организации всерьез занялись обеспечением информационной безопасности, защищая конфиденциальные сведения о своей деятельности, в том числе базы данных персонала.

Что такое

В Федеральном законе РФ “О персональных данных” отмечено, что любая информация, касающаяся прямо или косвенно определенного физического лица относится к персональным данным.

Это различные сведения о человеке: от ФИО, даты и места рождения до информации о доходах, здоровье и т.д.

Если обратиться к Трудовому кодексу РФ, то можно увидеть, что персональными данными считается информация, относящаяся к работнику и используемая работодателем в связи с трудовыми отношениями.

При поступлении на работу каждый сотрудник предоставляет организации (оператору) паспорт, военный билет, пенсионное свидетельство, ИНН и другие документы.

Поэтому, каждый работодатель, заключая с работником трудовой договор, становится обладателем сведений, относящихся к персональным данным.
И совершая любые действия с этими данными (например, сбор, запись, систематизацию, накопление, хранение и другие), предприятие осуществляет их обработку.

Персональные данные, с которыми приходится работать сотрудникам кадровой службы, носят конфиденциальный характер. Это означает, что лица, имеющие доступ к личной информации работников, без их разрешения или другого законного основания, не имеют права ее распространять.

Правила хранения персональных данных

ТК РФ обязывает каждого работодателя разрабатывать правила использования и хранения данных о персонале на своем предприятии, учитывая требования федеральных законов.

Принятые соответствующие нормы и правила, могут содержаться в локальном акте фирмы о персональных данных. Чаще всего, таким документом становится Положение о защите персональных данных работников, но не запрещается включать данный раздел в Правила внутреннего распорядка.

Каждого сотрудника необходимо ознакомить с данным нормативным актом, поскольку ТК РФ прямо указывает на права работников участвовать в разработке мероприятий по обеспечению безопасности персональных данных.

Для сохранения конфиденциальности персональных данных составляется список должностных лиц, имеющих к ним доступ, и разрабатывается форма документа, к примеру, «Соглашение о неразглашении», которое подписывают не только рядовые работники-исполнители (специалист по кадровой работе, бухгалтеры и др.), но и руководители подразделений, генеральный директор предприятия.

Физическое хранение персональных данных

Многие специалисты отдела кадров ведут личные дела работников традиционным способом и не желают от него отказываться.

Особенности этого заключаются в том, что вся информация о каждом работнике, представленная оригиналами и копиями документов накапливается в специально оформленной папке. При этом единых правил оформления личных дел в коммерческих организациях не существует.

Преимущества ведения личных дел:

  • все данные о сотруднике находятся в одном месте;
  • возможность четкой систематизации;
  • быстрый поиск информации о конкретном человеке.

Недостатки хранения персональной информации с комплектованием личных дел:

  • высокая трудоемкость (требуется регламент, подшивка документов, опись, сверка, архивирование);
  • требуются дополнительные ресурсы (сейфы, отдельные помещения и т.д.);
  • необходимы навыки работы с личными делами.

Часто персональная информация о работниках хранится на бумажных носителях, расположенных в разных тематических папках в соответствии с номенклатурой организации.

Возможность проверить отчет ПФР предоставляемый в 2014 г. по новой форме расчета для начисленных и уплаченных взносов обязательного пенсионного страхования в ПФР, и страховым взносам в Фонд обязательного мед. страхования, имеется в программе CheckXML.

Отчетности в ПФР бояться не стоит, несмотря на большое количество кодов и регистрационных номеров, которые необходимо отразить в документах. О том, как правильно подготовить отчет в ПФР читайте .

Все документы, касающиеся работников, одного назначения: трудовые договоры, документы анкетно-биографического характера, договоры материальной ответственности и т.д. размещаются в отдельные папки и выстраиваются в алфавитном порядке или по регистрационным номерам.

В сравнении с оформлением личных дел, такой способ хранения данных о работниках несет в себе меньше трудозатрат и не требует особых навыков от кадровика.

Однако раздельное хранение имеет и свои недостатки:

  • поиск информации о сотруднике занимает много времени;
  • существует более высокий риск раскрытия конфиденциальной информации.

Хранение персональных данных в электронном виде

При таком способе хранении практически вся персональная информация хранится в электронном виде с использованием базы персональных данных и информационных систем.

Преимущества хранения информации на электронных носителях:

  • нет необходимости в дополнительных ресурсах;
  • экономится место и пространство;
  • высокая скорость и удобство работы с персональными данными;
  • повышенная степень защиты от несанкционированного доступа;
  • срок хранения не ограничен сроками;
  • не нужен большой архив.

Недостатки хранения информации в электронном виде:

  • необходимо иметь резервные копии базы данных персонала;
  • программное обеспечение и специальное оборудование стоит не дешево;
  • требуется администрирование информационной системы;
  • нужна высокая грамотность сотрудника, работающего с персональными данными.

Для того, чтобы защитить персональные данные, хранящиеся в электронном виде используют следующие методы:

  • внедрение разрешительной системы допуска персонала к конфиденциальной информации;
  • ограничение доступа сотрудников в помещения, где находятся технические средства, используемые для обработки личных данных;
  • четкая организация хранения и учета информационных носителей и другие.

Обезопасить себя от потенциальных претензий со стороны финансовых структур и исключить риски в ведении предпринимательской деятельности позволит проверка контрагента на добросовестность.

Есть специальные сайты, где Вы можете проверить контрагента по налоговой просто введя номер его ИНН в специальную графу и получить результат мгновенно. О том, как провести проверку по ИНН узнайте .

У каждого из рассмотренного способа хранения персональных данных работников на предприятии свои недостатки и преимущества. Часто на практике они сочетаются: ведутся и личные дела, и электронные базы данных персонала.

В любом случае работодатель должен иметь согласие работников на обработку их персональной информации.
Так же необходимо учитывать материальные возможности для обеспечения защиты и сохранности документов, трудозатраты и квалификацию персонала кадровой службы.

Образец заполнения формы уведомления об обработке (о намерении осуществлять обработку) персональных данных

Образец
заполнения формы уведомления об обработке (о намерении осуществлять обработку) персональных данных

Уведомление оформляется на бланке органа, осуществляющего обработку персональных данных.

Уведомлению присваивается номер и указывается дата составления.

Подаваемый документ (оригинал) обязательно подписывается уполномоченным лицом (руководителем)

Руководителю Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Иркутской области

С.Е. Костылову

ул. Халтурина, д. 7, а/я 169
г. Иркутск, 664011

Уведомление об обработке

(о намерении осуществлять обработку) персональных данных

1. Тип оператора:

2. Цель обработки персональных данных:

Необходимо указать как цели, указанные в учредительных документах (уставе, учредительном договоре, положении) оператора, так и цели фактически осуществляемой оператором деятельности.

Например:

  • «осуществление трудовых взаимоотношений с работниками…»,
  • «осуществление видов деятельности в соответствии с Уставом…»,
  • «осуществление полномочий органа власти по ….»,
  • «выполнение государственных функций по ….»,
  • «оказание государственных (муниципальных) услуг по …»,
  • «оказание (предоставление) услуг по ….»,
  • «выполнение работ по ….»,
  • оказание услуг в сфере образования/здравоохранения/торговли и др. (т. е. цели, указанные в учредительных документах и цели фактически осуществляемой деятельности),
  • ведение кадровой работы и бухгалтерского учета,
  • заключение договорных отношений с физическими лицами на оказание услуг и (или) выполнение работ.

Соответствующие виды деятельности отражаются в общероссийских классификаторах услуг, видов деятельности (ОКВЭД), в правоустанавливающих документах юридического лица и т.д.

3. Категории персональных данных:

  • непосредственно персональные данные: фамилия, имя, отчество; год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, паспортные данные, данные трудовой книжки, данные военного билета, сведения о пенсионном страховании, ИНН (другие категории персональных данных, подлежащих обработке).
  • специальные категории персональных данных: состояние здоровья, национальная принадлежность, расовая принадлежность, политические взгляды, религиозные или философские убеждения, состояние интимной жизни.
  • биометрические персональные данные (сведения, которые характеризируют физиологические особенности человека и на основании которых можно установить его личность).

Другие категории персональных данных, такие как: паспортные данные, ИНН, данные СНИЛС, сведения о воинском учете, номер телефона и другие, не присутствующие в указанном списке, необходимо дописать текстом.

Обращаем Ваше внимание на то, что в данном пункте необходимо только перечислить категории персональных данных, фактически обрабатываемые Оператором, без указания персональных данных физических лиц.

4. Категории субъектов, персональные данные которых обрабатываются:

Работники, состоящие в договорных отношениях с ООО «Первый»/ИП Иванова И.И., члены семьи работника, родственники, кандидаты, физические лица, получающие услуги от ООО «Первый»/ИП Иванова И.И., а также физические лица, состоящие в гражданско-правовых и иных договорных отношениях с ООО «Первый»/ИП Иванова И.И, физические лица (заказчики; пассажиры; налогоплательщики; учащиеся, их родители; государственные гражданские служащие; обслуживающий персонал); физические лица, обратившиеся в организацию по страхованию имущества; пенсионеры, физические лица находящихся на обслуживании банка (клиенты); законные представители физических и юридических лиц; больные, состоящие на диспансерном учёте по соответствующим диагнозам, медицинский персонал; граждане, имеющие право на меры социальной поддержки, пособия, доплаты к пенсии, ежемесячные денежные выплаты, компенсации и иные выплаты; законные представители физических и юридических лиц.

Необходимо указать категории субъектов (физических лиц) и виды отношений с субъектами (физическими лицами), персональные данные которых обрабатываются. Обращаем Ваше внимание, что категории субъектов (физических лиц) должны соответствовать целям обработки персональных данных, указанным в п. 2 настоящего Образца.

5. Правовое основание:

6. Перечень действий с персональными данными, общее описание используемых оператором способов обработки персональных данных:

  • Перечень действий с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных. Из этого перечня необходимо выбрать только те действия, которые оператор непосредственно совершает с персональными данными.
  • Способ обработки персональных данных: смешанный/автоматизированный/неавтоматизированный(указать что-либо одно).

Необходимо указать один из способов обработки персональных данных:

  • неавтоматизированная обработка персональных данных;
  • исключительно автоматизированная обработка персональных данных (обработка персональных данных с помощью средств вычислительной техники);
  • смешанная обработка персональных данных (и автоматизированный, и неавтоматизированный способы одновременно).

При обработке персональных данных информация: передается/не передается (указать что-либо одно)по внутренней сети юридического лица (информация доступна лишь для строго определенных сотрудников юридического лица), информация передается/не передается (указать что-либо одно)с использованием сети общего пользования Интернет.

7. Для обеспечения безопасности персональных данных применяются следующие меры (описание мер, предусмотренных ст. 18.1 и 19 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»):

— Разработано и утверждено Положение об обработке персональных данных в ООО «Первый». Приказом № 1 от 01.01.01 назначено лицо, ответственное за организацию обработки персональных данных. Опубликован и размещен на стенде организации документ, определяющий политику в отношении обработки персональных данных. Разработаны локальные акты по вопросам обработки персональных данных. Осуществляется внутренний контроль соответствия обработки персональных данных Федеральному закону от 27.07.2006 № 152-ФЗ «О персональных данных» и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных. Работники, непосредственно осуществляющие обработку персональных данных, ознакомлены с положениями законодательства Российской Федерации о персональных данных, в том числе с требованиями к защите персональных данных, документами, определяющими политику организации в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных. Разработана модель угроз безопасности в информационной системе. Обеспечивается учет машинных носителей персональных данных. Обеспечивается восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним. Разработаны правила доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечивается регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных.

— Средства обеспечения безопасности: обмен персональными данными при их обработке в информационных системах осуществляется по каналам связи, защита которых обеспечивается путем применения электронной подписи, используются антивирусные средства защиты информации(наименование, версия, № лицензионного соглашения), межсетевое экранирование, присвоение персональных паролей для каждого рабочего места (конкретного работника), наличие средств восстановления системы защиты персональных данных. Установлены сейфы для хранения личных дел работников и персональных данных физических лиц, запирающиеся металлические шкафы, установлена пожарная сигнализация, видеонаблюдение, круглосуточный охранный пост (обращаем Ваше внимание на то, что применяемые Оператором меры по обеспечению безопасности персональных данных должны соответствовать используемому Оператором способу обработки персональных данных, указанному в п. 6 настоящего Образца.)

— Сведения о наличии шифровальных (криптографических) средств и наименования этих средств:

не используется/ используется «КриптоПро CSP 2.0», ООО «Крипто-Про», регистрационный номер № 0000001 (в случае использования оператором, осуществляющим обработку персональных данных, шифровальных (криптографических) средств указываются следующие сведения:

а) наименование, регистрационные номера и производителей используемых криптографических средств;

б) уровень криптографической защиты персональных данных;

в) уровень специальной защиты от утечки по каналам побочных излучений и наводок;

г) уровень защиты от несанкционированного доступа. Предоставление данной информации осуществляется в соответствии с Методическими рекомендациями по обеспечению с помощью крипто средств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации, утвержденных руководством 8 Центра Федеральной службы безопасности Российской Федерации 21 февраля 2008 г. № 149/5-144).

7.1. Фамилия, имя, отчество физического лица или наименование юридического лица, ответственных за организацию обработки персональных данных, и номера их контактных телефонов, почтовые адреса и адреса электронной почты:

Иванов Иван Иванович (не допускается написание инициалов ответственного лица, фамилия, имя и отчество (при наличии) должны быть указаны в полном объеме)

Общество с ограниченной ответственностью «Второй» (указывается сторонняя организация, являющаяся ответственной за организацию обработки персональных данных у Оператора, сам Оператор не может быть указан)

664000, г. Иркутск, а/я 000, тел. 00-00-00, iii@mail.ru (указываются рабочие контактные данные).

НЕОБХОДИМО УКАЗАТЬ ЛИБО НАИМЕНОВАНИЕ И КОНТАКТНЫЕ ДАННЫЕ ИНОГО ЮРИДИЧЕСКОГО ЛИЦА, ЛИБО ФАМИЛИЮ, ИМЯ, ОТЧЕСТВО ВАШЕГО СОТРУДНИКА, ОТВЕТСТВЕННЫХ ЗА ОРГАНИЗАЦИЮ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ, А ТАКЖЕ КОНТАКТНЫЕ ДАННЫЕ.

8. Дата начала обработки персональных данных:

16 октября 1998 года (дата постановки на учет в налоговом органе).

9. Срок или условие прекращения обработки персональных данных:

Прекращение деятельности ООО «Первый», ликвидация ООО «Первый», реорганизация ООО «Первый», истечение срока хранения предусмотренного законом, договором или согласием субъекта пдн на обработку его пдн, отзыв субъектом пдн (или его представителя) согласия на обработку его пдн с учетом достижения условий, предусмотренных ст. 21 ФЗ «О персональных данных».

10. Трансграничная передача персональных данных:

Не осуществляется/осуществляется в США (указать что-либо одно, в случае трансграничной передачи указывается перечень иностранных государств, на территорию которых осуществляется трансграничная передача персональных данных).

10.1 Сведения о месте нахождения базы данных, содержащей персональные данные граждан Российской Федерации: Россия, 664000, Иркутская обл., г. Иркутск, ул. Первая, д. 1, оф. 1, собственный ЦОД, Наименование ИС: «1С:Зарплата и Кадры» (указываются: страна (страны) размещения базы данных, конкретный адрес (адреса) местонахождения базы данных, собственный ЦОД (да/нет), наименование информационной системы (базы данных).

11. Сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством Российской Федерации:

Необходимо указать сведения о мерах принятых юридическим лицом, в целях исполнения требований установленных Постановлением Правительства РФ от 15 сентября 2008 г. N 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» и Постановлением Правительства РФ от 01 ноября 2012 г. N 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»».

Определены места хранения персональных данных (материальных носителей). Определен перечень лиц, осуществляющих обработку персональных данных и имеющих к ним доступ. Обеспечено раздельное хранение персональных данных (материальных носителей), обработка которых осуществляется в различных целях. Обеспечен учет материальных носителей. Средства защиты информации, предназначенные для обеспечения безопасности персональных данных при их обработке в информационных системах, учтены в соответствующих журналах. Исключена возможность неконтролируемого проникновения или пребывания посторонних лиц в помещения, где ведется работа с персональными данными. Обеспечена сохранность носителей персональных данных и средств защиты информации. Лица, осуществляющие обработку ПДн без использования средств автоматизации проинформированы о факте обработки ими персональных данных, а так же об особенностях и правилах осуществления такой обработки.

12. Территория обработки:

ООО «Первый» осуществляет свою деятельность на территории Иркутской области.

Указанное уведомление должно быть направлено в письменной форме и подписано уполномоченным лицом.

Уполномоченным лицом является:

  • должностное лицо, имеющий право на основании устава действовать от имени юридического лица без доверенности (генеральный директор, директор, президент, управляющий);
  • руководитель, начальник, действующие на основании положения;
  • представитель юридического лица, действующий на основании доверенности, в которой содержится соответствующее полномочие. В этом случае к уведомлению необходимо приложить документ, подтверждающий полномочия лица на подписание документов.

Обращаем ваше внимание, что Вы можете заполнить электронную форму Уведомления об обработке (намерении осуществлять обработку) персональных данных на Портале персональных данных уполномоченного органа по защите прав субъектов персональных данных (https://pd.rkn.gov.ru/operators-registry/notification/).

Время публикации: 09.02.2011 10:21
Последнее изменение: 27.12.2017 15:16

ИНФОРМАЦИЯ О ПЕРСОНАЛЕ — сово­купность всех оперативных сведений и процессов их обработки для кадрового планирования И. о п. должна отвечать сле­дующим требованиям: простота — инфор­мация должна содержать столько данных и только в том объеме, сколько необхо­димо в данном конкретном случае; на­глядность — сведения должны быть пред­ставлены таким образом, чтобы дать воз­можность быстро определить главное, а не скрывать его за многословием (для это­го следует использовать таблицы, графи­ки, цветное оформление материала); однозначность — сведения не должны быть неясными, в их толковании следует следить за семантической, синтаксичес­кой и логической однозначностью мате­риала; сопоставимость — сведения долж­ны приводиться в сопоставимых ед. и от­носиться к поддающимся сравнению объ­ектам как внутри организации, так и вне ее; преемственность — сведения о кад­рах, подаваемые за разные временные пе­риоды, должны иметь одну методику под­счетов и одинаковые формы представле­ния: актуальность — сведения должны быть свежими, оперативными и своевременными, т. е. представляться без опозданий.

Оставить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *