Главная / Семейный юрист / Положение О Защите Персональных Данных Работников 2023 И Согласие

Положение О Защите Персональных Данных Работников 2023 И Согласие

Содержание

1 Положение О Защите Персональных Данных Работников 2023 И Согласие
2 Положение о персональных данных работников — образец 2023 года
3 Положение о персональных данных работников в 2023 году: образец
4 Документы по персональным данным необходимые в 2023 году
5 Образец оформления согласия на распространение персональных данных работника
6 Новые правила работы с персональными данными в 2023 году
7 Положение О Защите Персональных Данных Работников 2023 И Согласие

Положение О Защите Персональных Данных Работников 2023 И Согласие

1 марта 2023 года вступили в силу изменения в Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ). Введено новое понятие «персональные данные, разрешенные для распространения». Речь идет о распространении персональных данных неограниченному кругу лиц. Этот новый термин, по сути, пришел на смену прежнему – «общедоступные персональные данные». Судя по пояснительной записке к законопроекту, главная цель поправок – ограничить неконтролируемое использование персданных, размещенных на сайтах и в других открытых источниках. Получив персональные данные, оператор не вправе распространять их, как это было раньше. В связи с этим для обработки персональных данных, разрешенных для распространения, нужно получать отдельное согласие лица, предоставившего такие данные. Далее по тексту под оператором персональных данных (также далее – оператор, оператор персданных) будет подразумеваться лицо, которое обрабатывает персональные данные. Под субъектом персональных данных (далее – субъект персданных, гражданин) понимается физическое лицо, к которому прямо или косвенно относятся персональные данные, обрабатываемые оператором.

Ф. И. О. субъекта персональных данных;
контактную информацию субъекта персональных данных (телефон, электронная почта или почтовый адрес);
наименование или Ф. И. О. и адрес оператора, получающего согласие;
цель обработки персональных данных;
категории и перечень персональных данных, на обработку которых дается согласие или обработка которых запрещена;
условия разрешения и запрета обработки персональных данных;
срок, в течение которого действует согласие;
сведения об информационных ресурсах оператора, посредством которых они будут предоставлены неограниченному кругу лиц (например, адрес сайта).

Если физлицо подписало согласие на обработку персональных данных, но не дало своего согласия на их распространение, оператор может их обрабатывать (хранить, уточнять, использовать и т. д.), но не имеет права передавать их кому-либо еще (п. 4 ст. 10.1 Закона № 152-ФЗ). Это не касается передачи персональных данных государственным структурам, то есть военкомату, ФНС, ФСС, полиции, следственным органам и т. д. Персональные данные физического лица можно передавать им без его согласия (п. 2 – 11 ч. 1 ст. 6 Закона № 152-ФЗ).

Прежде оператор персональных данных мог обрабатывать и распространять (публиковать или передавать третьим лицам) персональные данные физлица-работника, получив от него только один документ – письменное согласие на обработку его персданных. Теперь этого недостаточно. Если оператор хочет распространять данные (например, разместить их на сайте компании), ему придется получить не только согласие на обработку, но и новый документ – согласие на распространение персональных данных (далее – согласие на распространение). Этому посвящена новая статья 10.1 Закона о персональных данных № 152-ФЗ.

Все перечисленные выше новые правила обработки персональных данных полностью распространяются на процесс обработки персональных данных работников работодателями. Это означает, что для распространения персональных данных работников (например, для размещения их на сайте работодателя) при приеме на работу или после заключения трудового договора придется брать с работника дополнительное согласие на распространение его персональных данных. В противном случае персональные данные работника можно будет передать только при наличии условий, когда согласие работника на их передачу не требуется. Подробнее об этом читайте здесь.

Положение о персональных данных работников — образец 2023 года

Полный перечень сведений о работниках, являющихся персональными данными, вы найдете в КонсультантПлюс. Это важно знать, поскольку к персональной информации относятся не только сведения о работнике, но и его фото например. Есть и другие интересные моменты. А ведь за нарушения в работе с персональными данными установлены довольно существенные штрафы. Получите бесплатный доступ к К+ и переходите в Путеводитель. Это убережет вас от ошибок и позволит избежать ответственности.

устанавливающим общие положения документа;
фиксирующим критерии выделения персональных данных из массива информации, задействуемой в документообороте и на иных участках внутрикорпоративных коммуникаций;
определяющим перечень ключевых операций с персональными данными;
регламентирующим осуществление соответствующих операций;
определяющим порядок доступа работников фирмы и иных лиц к данным;
устанавливающим обязанности сотрудников, участвующих в операциях с данными;
устанавливающим права сотрудников компании в части получения доступа к таким данным и осуществления необходимых операций с ними;
определяющим механизмы ответственности сотрудников фирмы за нарушения локальных норм и положений законодательства РФ, регламентирующих операции с персональными данными.

цели и задачи фирмы при работе с персональными данными;
перечни фактических и потенциально задействуемых в бизнес-процессах компании персональных данных;
описание операций с данными, практикуемых компанией;
способы доступа к данным, используемые в фирме;
обязанности сотрудников фирмы, задействующих при выполнении трудовой функции те или иные данные;
права сотрудников фирмы на приобретение санкционированного доступа к данным;
правовые механизмы ответственности работников фирмы за нарушения при операциях с данными.

Данные о человеке попадают под юрисдикцию закона № 152-ФЗ в том случае, если находятся в распоряжении оператора персональных данных или подлежат обработке с его участием (п. 1 ст. 1 закона № 152-ФЗ). Признакам оператора, в частности, соответствуют фирмы, имеющие наемных работников, поскольку они осуществляют обработку широкого спектра сведений о субъектах в процессе выстраивания с ними трудовых отношений.

Нормы ст. 87 ТК РФ, а также п. 2 ст. 18.1 закона № 152-ФЗ предписывают работодателям регламентировать операции с персональными данными своих работников. Однако в отмеченных НПА, равно как и в других федеральных источниках права, четко не определено, каким именно образом данная обязанность должна выполняться. На практике это чаще всего осуществляется посредством разработки и утверждения фирмой внутрикорпоративного положения о персональных данных нанятых работников.

Положение о персональных данных работников в 2023 году: образец

Содержание согласия должно быть конкретным и информированным. То есть по информации можно сделать однозначный вывод о целях, способах обработки с указанием действий, совершаемых с персональными данными, объеме обрабатываемых данных.
Допускается оформление согласия в виде отдельного документа или в виде части текста трудового договора.
Согласие должно отвечать требованиям, предъявляемым к его содержанию, согласно ч. 4 ст. 9 Закона о персональных данных.

К СВЕДЕНИЮ! Чтобы иметь возможность получать информацию о сотруднике не только непосредственно от него, кадровые работники иногда используют не запрещенный законом прием. В анкете, заполняемой при трудоустройстве, может иметься пункт «Не возражаю против проверки предоставленных данных» или «Разрешаю получить информацию обо мне в следующих источниках (указать, в каких)».

устанавливающим общие положения документа;
фиксирующим критерии выделения персональных данных из массива информации, задействуемой в документообороте и на иных участках внутрикорпоративных коммуникаций;
определяющим перечень ключевых операций с персональными данными;
регламентирующим осуществление соответствующих операций;
определяющим порядок доступа работников фирмы и иных лиц к данным;
устанавливающим обязанности сотрудников, участвующих в операциях с данными;
устанавливающим права сотрудников компании в части получения доступа к таким данным и осуществления необходимых операций с ними;
определяющим механизмы ответственности сотрудников фирмы за нарушения локальных норм и положений законодательства РФ, регламентирующих операции с персональными данными.

Если даже после этого согласие достигнуто не было, то обе стороны составляют и подписывают протокол разногласий. После этого шага администрация имеет право принять документ в том виде, как он предлагается. Но надо помнить, что профсоюз при возникновении спорной ситуации может обжаловать принятие положения в суде либо через трудинспекцию.

Помните пример про три сайта и чиновника? Так вот чиновник может потребовать удалить информацию как с одного, так и со всех трех. Где увидит статью о себе, туда и напишет. А может пойти сразу в суд. Соответственно, каждый сайт должен прекратить публикацию данных чиновника в течение трех дней.

Человеку нельзя запретить публиковать персональные данные в перечисленных случаях. Но наличие нужного интереса должен доказывать оператор, опубликовавший информацию. Четких критериев значимости интересов законодательство не определяет, поэтому нужно каждый случай рассматривать индивидуально.

С первым случаем все понятно, со вторым пока не понятно. Потому что Роскомнадзор еще не придумал такую систему. Когда придумает и запустит — не понятно. Если к 1 марта 2023 года не придумает, то единственным способом остается прямая передача согласия субъектом оператору. Это понятно, кэп?

Требования настоящей статьи не применяются в случае обработки персональных данных в целях выполнения возложенных законодательством Российской Федерации на федеральные органы исполнительной власти, органы исполнительной власти субъектов Российской Федерации, органы местного самоуправления функций, полномочий и обязанностей.

В случае, если из предоставленного субъектом персональных данных согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, не следует, что субъект персональных данных согласился с распространением персональных данных, такие персональные данные обрабатываются оператором, которому они предоставлены субъектом персональных данных, без права распространения.

ФИО, адрес субъекта ПД, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
наименование или ФИО и адрес оператора, получающего согласие субъекта ПД;
цель обработки ПД;
перечень ПД, на обработку которых субъект дает согласие;
наименование или ФИО и адрес лица, осуществляющего обработку ПД по поручению оператора, если обработка будет поручена такому лицу;
перечень действий с ПД, на совершение которых дается согласие, общее описание используемых оператором способов обработки ПД;
срок, в течение которого действует согласие субъекта ПД, а также способ его отзыва (если иное не установлено законом);
подпись субъекта ПД.

Например, на сайте Microsoft этот документ называется заявление о конфиденциальности. Обратите внимание на то, что в нем есть пункт «Файлы cookie и аналогичные технологии»: если вы их используете, то об этом тоже нужно предупреждать. А вот на сайте Adidas текст согласия на обработку ПД располагается прямо с формой регистрации, при этом ссылка ведет на политику конфиденциальности компании.

в случае обезличивания ПД;
в отношении общедоступных ПД;
если данные включают только ФИО субъектов ПД;
для однократного пропуска субъекта ПД на территорию, на которой находится оператор (или в иных аналогичных целях);
если данные получены в связи с заключением договора, стороной которого является субъект ПД, если данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом ПД;
если данные относятся к членам общественного объединения или религиозной организации и обрабатываются для достижения законных целей.

Обработка персональных данных — любое действие или совокупность действий, совершаемых с использованием средств автоматизации или без них с ПД: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

Одним словом, речь идет о любых данных, по которым можно идентифицировать человека. Следовательно, если вы каким-то образом получаете такие данные в любом сочетании, то являетесь оператором персональных данных. Фактически любой владелец сайта — оператор персональных данных, так как он размещает на своем ресурсе форму обратной связи, форму регистрации и др.

Документы по персональным данным необходимые в 2023 году

— Постановление Правительства РФ от 01.10.2012 г. №1119
— Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных (утв. ФСТЭК от 14.02.2008 г.);
— Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных (утв. ФСТЭК от 15.02.2008 г.)

В Приказе об утверждении перечня информационных систем персональных данных (ИСПДн) указывается назначение системы, составляющей основную цель обработки персональных данных. Например, автоматизация процессов кадрового учета, процессов расчета заработной платы. Также в документе указываются категории и объем персональных данных в соответствии с Постановлением Правительства РФ от 01.11.2012 №1119.

От оператора персональных данных необходимо отличать лицо, которое осуществляет обработку по поручению такого оператора (обработчик). Обработчиками обычно выступают организации оказывающие услуги на аутсорсинге, например, провайдеры облачных сервисов или аутсорсинг-бухгалтерия.

Данным приказом утверждается список должностей работников, доступ которых к персональным данным необходим для выполнения их служебных обязанностей. Ответственный за организацию обработки персональных данных проводит обучение назначенных данным приказом работников.

Информированное согласие пользователя обычно включает в себя: сведения об операторе, цели обработки персональных данных, виды обрабатываемых данных, кому персональные данные могут передаваться. Текст информированного согласия размещается под формами сбора персональных данных на сайте вместе со ссылкой на Политику конфиденциальности.

В согласии гражданин вправе установить запрет на передачу (кроме предоставления доступа) своих общедоступных данных неограниченному кругу лиц. Это значит, что если в согласии будет установлен подобный запрет, то третьи лица будут иметь доступ к личным данным физлица, но не смогут их передавать другим лицам для дальнейшего использования, обработки и распространения.

Таким образом, говоря о персональных данных, разрешенных для распространения, всегда имеются в виду общедоступные сведения о человеке, получить которые может неограниченный круг лиц. То есть практически любой желающий. Именно порядок обработки таких данных и регулирует новый закон. И хотя неограниченный доступ к такой информации осуществляется с согласия самих граждан, до последнего момента такое согласие могло получаться операторами персданных по умолчанию. Например, давая согласие на обработку персональных данных какому-либо сайту, магазину или банку, гражданин зачастую автоматически соглашался на распространение информации о себе среди неограниченного круга всех прочих лиц. При этом о предоставлении неограниченного доступа к своей личной информации он мог и не догадываться.

Если в полученном оператором согласии отсутствует прямое волеизъявление физлица на возможность использования его личных данных неограниченным кругом лиц, то персональные данные могут обрабатываться только самим оператором без права их публикации в открытом доступе (п. 4 ст. 10.1 Федерального закона от 27.07.2006 № 152-ФЗ).

Право на установление такого запрета является безусловным. Отказ оператора в установлении данного запрета не допускается (п. 3 ст. 1 Федерального закона № 519-ФЗ от 30.12.2023). Если гражданин установит в согласии запрет на дальнейшую обработку и распространение своих общедоступных сведений, оператор, первоначально получивший согласие, обязан будет публично уведомить о таком запрете всех третьих лиц.

Согласие должно быть конкретным, информированным и сознательным. Согласие во всех случаях должно содержать перечень сведений, разрешенных к распространению среди неограниченного круга лиц. Причем компании, получающие такое согласие, должны обеспечить физлицу возможность самостоятельно определить содержание данного перечня персональных данных. Это значит, что теперь любой магазин, кредитная организация, новостной портал и прочие операторы персданных, запрашивающие согласие на их передачу, обязаны уточнять у гражданина, какие именно сведения о нем можно публиковать и распространять для неограниченного доступа.

В новом законопроекте субъектам персональных данных дается возможность самим регулировать условия обработки, накладывать запреты на обработку своих ПДн, а также устанавливать запрет на передачу своих данных третьим лицам. Интересный момент, что если сам бланк согласия не подразумевает полей устанавливающих запреты или не указаны перечень ПДн или категории ПДн для которых субъект устанавливает условия и запреты, то такие персональные данные должны обрабатываться оператором без распространения или без предоставления доступа к этим данным. Отказать в установлении запрета или ограничения в отношении распространения своих персональных данных оператор не имеет права. Более того Оператор обязан опубликовать информацию об условиях обработки и о наличии запретов и условий обработки в срок не превышающий 3-х дней с момента получения соответствующего согласия.

Т.е. по факту ничего особенного не добавилось, оператор как и раньше должен доказать свое право на обработку ПДн своих субъектов и основания на такую обработку. В новой версии Федерального закона основания должны быть представлены в виде отдельного согласия на распространение . Учитывая, что общедоступные источники никуда не делись, то возможно придется собирать уже два согласия. Одно письменное для включения персональных данных субъекта в общедоступные источники информации, второе же на распространение.

Т.е., по сути, определение общедоступные персональные данные заменили на персональные данные разрешенные для распространения. Интересный момент заключается в том, что сохраняются общедоступные источники ПДн, однако, как следует из внесённых поправок, включение ПДн в такие источники теперь не означает, что данные ПДн можно распространять свободно (нужно получить соответствующее согласие).

Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных. Оператор обязан обеспечить субъекту персональных данных возможность определить перечень персональных данных по каждой категории персональных данных, указанной в согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения.

17 ноября 2023г. депутатом Государственной Думы А. В. Горелкиным был внесен законопроект № 1057337-7 «О внесении изменений в Федеральный закон «О персональных данных»» в части особенностей обработки персональных данных, разрешенных субъектом персональных данных для распространения. Проект уже прошел все обсуждения и 30-го декабря был подписан президентом. В этой статье мы попробуем проанализировать какие-же изменения нас ждут уже в этом году в части обработки и защиты персональных данных.

Образец оформления согласия на распространение персональных данных работника

С 1 марта 2023 в Закон №152-ФЗ вносятся изменения на основании закона №519-ФЗ от 30.12.2023, который добавляет новую статью 10.1. Суть обновлений в том, что теперь работодателям нужно отдельно получать с персонала согласия на распространение персональных данных, к которому можно отнести любую передачу сведений третьим лицам, а также их размещение на различных ресурсах, печатном СМИ, в интернете.

Важно: Молчание работника и отсутствие возражений с его стороны не лишает работодателя обязанности по получению заверенного согласия на распространение информации. Согласно ст.10.1 Закона №152-ФЗ, если человек молчит, это не означает, что он согласен — разрешение нужно все равно получить.

фамилия, имя, отчетство;
возраст;
дата рождения;
место рождения;
о полученном образовании;
о трудовой деятельности;
номера ИНН, СНИЛС;
паспортные реквизиты;
сведения о составе семьи, социальном статусе, гражданстве;
фотографии;
данные о состоянии здоровья и т.д.

передача информации в банк для оформления зарплатной карты;
размещение сведений о работнике на официальном сайте компании;
размещение фото, ФИО и прочих сведений на доске почета;
размещение заметок в бумажных и электронных СМИ;
передача данных работника охранной компании для выписка пропуска на территорию организации;
прочие случаи распространения информации в различных целях.

название организации, ФИО руководителя, его должность — обычно пишется в правом верхнем углу;
свои ФИО, адрес регистрации, паспортные данные — также в правом углу;
название документа — согласие на обработку персональных данных в целях распространения;
ссылка на ст. 10.1 Закона 152-ФЗ, где содержится обязательство предоставлять разрешение на распросранение информации;
согласие на передачу сведений организации;
конкретная цель распространения — например, размещение информации в СМИ;
список данных, которые заявитель разрешает распространять;
срок предоставления согласия;
дата составления;
подпись заявителя.

Мировой суд посчитал такие действия со стороны коллекторской компании нарушением ФЗ № 152 «О защите персональных данных». Позже Черемушкинский районный суд г. Москвы, как апелляционная инстанция, поддержал решение мирового суда в полном объеме и согласился с выводами нижестоящего суда в части привлечения организации к административной ответственности и выплате штрафа в размере 30 000 рублей (решение Черемушкинского районного суда г. Москвы от 18 июня 2023 г. по делу № 12-973/2023).

До вступления поправок в силу у третьих лиц оставалась некая «лазейка» в законе. В частности, они также могли осуществлять сбор, хранение и передачу данных. А субъекты, чьи персональные данные были переданы третьим лицам, могли требовать их удаления только при соблюдении обязательных условий: необходимо доказать, что данные получены незаконно, потеряли актуальность, являются неполными и т.п. С принятием поправок в ФЗ данное правило изменилось. Теперь лицо может требовать ограничения пользования и удаления персональных данных у любого оператора, которому стали известные персональные данные. Причину такого решения субъект персональных данных указывать больше не обязан.

Кроме того, теперь лицо само сможет решать какие из его персональных данных могут быть использованы. Если субъект не дал прямого письменного разрешения на использование своих персональных данных, то оператор, получивший сведения, имеет право на их обработку, но не имеет права на распространение.

Мы все хорошо знаем, что сбор персональных данных разного рода операторами происходит довольно часто. Свои данные мы указываем везде: открытие счета, получение посылки по почте, запись на прием к приставу и пр. При этом гарантировать сохранность персональных данных после их обработки очень сложно. Безусловно, ФЗ № 152 обязывает их охранять. Но некоторые данные могут стать публичными из-за злоупотребления полномочиями или банальной неосторожности.

Внесение поправок в действующее законодательство имеет своей целью более корректное использование персональных данных, полученных оператором для обработки. В первую очередь, это необходимо для того чтобы операторы понимали серьезность вверенных им данным и последствий своих действий. Поскольку нарушения в хранении и передачи данных третьих лиц так или иначе все еще встречаются, у операторов не сложилось четкого представления о необходимости получения письменного согласия на передачу любых персональных данных.

Еще один случай, когда согласие не требуется ─ если в информации, которую предали огласке, заинтересовано общество. Здесь важно не путать любопытство, например, к жизни известных людей, с общественным интересом ─ когда информация напрямую влияет на жизнь, здоровье, благосостояние граждан. Пример ─ распространение сведений о преступниках, которые находятся в розыске.

Это неудобно для отдельных проектов. Например, психолог предлагает бесплатные консультации при условии размещения записи беседы на своем сайте или соцсетях. Перед консультацией получены согласия на обработку и распространение ПД. А после размещения ролика клиент передумывает. Психолог вынужден удалить видео.

Отзывы ─ пишут, как зовут человека и указывают информацию о нем, например, возраст, должность, город проживания, количество детей и другое.
Интервью ─ сам формат предполагает, что о человеке будет рассказано достаточно много.
Информация об экспертах на лендингах онлайн-курсов, конференций и т.п.

данные субъекта ПД ─ ФИО на русском языке, для иностранцев или лиц без гражданства в русской транскрипции, контакты (телефон, email, почтовый адрес);
информация об операторе ПД ─ название организации, ФИО ИП или физлица, адрес, ИНН, коды ОКВЭД, ОКПО, ОКОГУ, ОКОП, ОКФС;
цели обработки ПД в формулировках закона № 152-ФЗ;
категории ПД, которые субъект разрешает и запрещает распространять;
срок, в течение которого действует согласие, при этом нельзя автоматически пролонгировать срок действия, устанавливать бессрочный статус и указывать на событие, наступление которого возможно в долгосрочной перспективе;
информация о ресурсах, где будут распространяться данные, вплоть до адреса страницы сайта.

Кроме этого, в законе сказано, что человек еще должен выбрать, какие именно данные о себе он разрешает распространять. Пока непонятно, как технически настроить такой выбор на сайте. Возможно, придется рядом с каждым видом ПД предусматривать отдельные чекбоксы.

Данные требования устанавливаются уполномоченным органом по защите прав субъектов персональных данных. В настоящий момент единые требования проходят общественные обсуждения в отношении текста проекта нормативного правового акта и независимую антикоррупционную экспертизу (https://regulation.gov.ru/projects#npa=112660).

технологии обнаружения несанкционированного доступа,
поведение работников, привыкших «делиться» данными своей учетной записи с соседями по кабинету, по трудовой функции,
элементарные сообщения специализированных программ (наличие таковых) и документирование их отработки,

Федеральный закон от 30.12.2023 N 515-ФЗ «О внесении изменений в отдельные законодательные акты Российской Федерации в части обеспечения конфиденциальности сведений о защищаемых лицах и об осуществлении оперативно-розыскной деятельности» изменил 29 декабря 2023 года пункт 6 части 2 статьи 19. Оператора персональных данных, т.е. работодателя и его полномочные лица (в частности: кадровиков, бухгалтеров, системных администраторов), обязали обратить особое внимание на факты несанкционированного доступа к персональным данным и принимать меры по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных, а также меры по реагированию на инциденты в них.

Обработка персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных в случаях, когда такое согласие должно быть, влечет наложение административного штрафа на граждан в размере от шести тысяч до десяти тысяч рублей; на должностных лиц — от двадцати тысяч до сорока тысяч рублей; на юридических лиц — от тридцати тысяч до ста пятидесяти тысяч рублей. И это не предел.

Кстати сказать, пунктом 2 статьи 22 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных» работодателю как оператору ПД позволено осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных во многих случаях отношений работник – работодатель. В том числе и в случае наличия разрешенных субъектом персональных данных ПД для распространения.

По второму изменению в новом КоАП дело касается обезличивания ПДн. Проще говоря, если персональным данным (паспортным, медицинским, контактным данным и т.п) будет присвоен идентификационный номер, то это обезличивает персональные данные, т.к. по одному номеру нельзя определить человека.

организации мероприятий, маркетинговых акций, рекламы;
размещения отзывов, рекламных акций на сайте компании и других общедоступных источниках;
сбор персональных данных через онлайн-каналы (мессенджеры, социальные сети, формы обратной связи на сайте, онлайн-консультанты) без применения средств защиты, обеспечивающих их конфиденциальность при передаче через интернет.

в банк для целей выплаты заработной платы и иных материальных выплат, а также перечисления подотчетных средств;
в охранное предприятие в целях взаимодействия и реагирования;
в медицинские организации в целях проведения медицинских осмотров;
в страховые компании по договорам добровольного медицинского страхования;
в образовательные организации в объеме превышающем требования закона об образовании;
в целях организации командировок и участия в выставках;
в других целях, напрямую не связанных с должностными обязанностями сотрудника.

Распространение вирусов и вредоносного ПО через рассылки спама на почту, мессенджеры, соцсети людей, чьи данные были похищены.
Кража аккаунтов в социальных сетях в целях шантажа, компрометация публичных личностей.
Проникновение в сеть организаций для хищения ценной информации (клиентская база, ноу-хау, заявки от клиентов) или же шифрования серверов и ПК сотрудников в целях вымогательства денег.
Предложения о покупке сомнительных лекарств и непроверенных способов лечения на основе полученных медицинских данных.
Склонение людей к противоправным действиям, пользуясь их слабостями.
Деяния уголовных элементов, сексуальных маньяков, продавцов наркотиков в отношении детей.
Социальная инженерия. Мошенники часто представляются сотрудниками банков и манипулируют людьми с целью получения денежных средств или сообщения информации, которая позволит им получить доступ к банковским счетам и картам.

Изучить все источники поступления ПДн в организацию, цели поступления и состав данных. К примеру, нужно понимать, что источники ПДн клиентов и сотрудников разные, и состав ПДн тоже разный.
Проанализировать, где и как организация получает ПДн — наличие договора, соглашения и/или другого юридически значимого документа, подтверждающего правомерность получения персональных данных, их состав и цели обработки. Получение всех ПДн, которые попадают в организацию, без исключения должны подтверждаться подобными документами: корректно составленное соглашение по обработке ПДн на сайте, с которого компания получает ПДн клиентов, Соглашение по обработке ПДн с сотрудниками.
Изучить, какие и чьи ПДн в организации обрабатываются (в разрезе категорий физических лиц). Ориентируясь на ПДн клиентов и сотрудников, видно, что процесс их обработки и хранения разный. Доступ к ПДн сотрудников имеют отдел кадров, бухгалтерия, а к клиентским данным — та же бухгалтерия и коммерческий отдел.
Проверить наличие утвержденных локальных нормативных актов, определяющих порядок доступа сотрудников к персональным данным. Документы, в которых прописано, кто и за что отвечает.
Проанализировать соответствие процесса обработки локальным нормативным актам. Зачастую на практике бывает несоответствие.
Изучить ваших получателей персональных данных: кому, для каких целей и в каком составе передаются персональные данные. Опять же, практика показывает, что в некоторых организациях к ПДн допускаются сотрудники, не имеющие к ним отношения.
Проанализировать, на каких условиях передаются ПДн третьим лицам — обязательно наличие договора, соглашения и/или другого юридически значимого документа, подтверждающего правомерность передачи персональных данных. Если зачисление зарплаты сотрудникам компании происходит через зарплатный проект банка, то компания обязана с каждым сотрудником, участвующем в зарплатном проекте, подписать соглашение о передаче его ПДн в этот банк.
Определить, какие персональные данные стоит обезличивать. К примеру, это данные, чей срок хранения официально вышел, но при этом характеристики клиента имеют ценность без необходимости идентификации физического лица.
Определить, какие согласия уже не имеют силы и которые надо скорректировать. Отсутствие отлаженной системы работы с ПДн в прошлом означает, что, возможно, часть документов уже не актуальна.
Изучить, как защищаются персональные данные в компании и от кого они реально защищены — только от внешних злоумышленников или от внутренних тоже? Очень часто данные клиентов утекают вместе с увольняющимися сотрудниками коммерческих отделов.
Составить годовой план и реализовать его. Необходимо разработать поэтапный план по реализации этих пунктов с учетом объема работы и времени на их выполнения.

Новые правила работы с персональными данными в 2023 году

На протяжении последних нескольких лет работе с персональными данными физлиц уделяется особое внимание. Ключевые изменения произошли в 2023 году, когда Федеральный закон от 07.02.2023 № 13-ФЗ внес поправки в ст. 13.11 КоАП. Тогда был заметно расширен перечень оснований для привлечения к административной ответственности за незаконную обработку персональных данных (ПД) и увеличены штрафы.

Каждая категория операторов так или иначе сталкивается с обработкой ПД. Физлица используют ПД клиентов. ИП запрашивают эти данные, нанимая специалистов на работу, или собирают ПД на сайте, в интернет-магазине. К юрлицам применяется расширенный список требований по оформлению необходимых документов и требование о назначении ответственного за организацию обработки ПД. Самые жесткие требования предъявляются к государственным и муниципальным органам, которые работают с огромным массивом ПД граждан.

В 152-ФЗ операторы делятся на несколько категорий: физлица, ИП, юрлица, муниципальные органы, государственные органы. В зависимости от категории за одно и то же нарушение применяются разные по размеру штрафы. Так, например, для физлиц они заметно ниже, чем для юрлиц.

Положение О Защите Персональных Данных Работников 2023 И Согласие

— распространение персональных данных — действия, направленные на передачу персональных данных работников определенному кругу лиц (передача персональных данных) или на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных работников в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к персональным данным работников каким-либо иным способом;

— использование персональных данных — действия (операции) с персональными данными, совершаемые должностным лицом Организации в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении работников либо иным образом затрагивающих их права и свободы или права и свободы других лиц;

3.1.1. Все персональные данные работника Организации следует получать у него самого. Если персональные данные работника возможно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Должностное лицо работодателя должно сообщить работнику Организации о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение [4] .

4.1.3. Предупредить лиц, получивших персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получившие персональные данные работника, обязаны соблюдать режим секретности (конфиденциальности). Данное Положение не распространяется на обмен персональными данными работников в порядке, установленном федеральными законами.

1.2. Цель разработки Положения — определение порядка обработки персональных данных работников Организации и иных субъектов персональных данных, персональные данные которых подлежат обработке, на основании полномочий оператора; обеспечение защиты прав и свобод человека и гражданина, в т.ч. работника Организации, при обработке его персональных данных, в том числе защиты прпв на неприкосновенность частной жизни, личную и семейную тайну, а также установление ответственности должностных лиц, имеющих доступ к персональным данным, за невыполнение требований норм, регулирующих обработку и защиту персональных данных.

15 Июн 2021 klasterlaw 287