Положение о работе с персональными данными

Общество с ограниченной ответственностью "Бета"
ООО "Бета"

УТВЕРЖДАЮ
Генеральный директор
ООО "Бета"
___________________ А.И. Петров

01.09.2022

ПОЛОЖЕНИЕ

01.09.2022№ 1-П

г. Москва

О работе с персональными данными

1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Настоящее Положение о работе с персональными данными работников ООО "Бета" (далее – Положение) является локальным нормативным актом ООО "Бета". Настоящее Положение разработано в соответствии с Конституцией РФ, Трудовым кодексом РФ, Федеральным законом № 152-ФЗ от 27 июля 2006 г., Положением, утв. Постановлением Правительства РФ № 687 от 15 сентября 2008 г., Требованиями, утв. Постановлением Правительства РФ № 1119 от 1 ноября 2012 г., и другими нормативными правовыми актами.

1.2. Цель настоящего Положения – обеспечение законных прав и интересов ООО "Бета" и его работников в связи с необходимостью получения, систематизации, хранения, использования и передачи сведений, являющихся персональными данными.

2. ОСНОВНЫЕ ПОНЯТИЯ. СОСТАВ ПЕРСОНАЛЬНЫХ ДАННЫХ РАБОТНИКОВ

2.1. Основные понятия:
2.1.1. Персональные данные работника – любая информация, относящаяся к конкретному работнику (субъекту персональных данных).
2.1.2. Обработка персональных данных работника – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными работника, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
2.1.3. Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
2.1.4. Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
2.1.5. Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
2.1.6. Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных работников.
2.1.7. Обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному работнику.
2.1.8. Персональные данные, разрешенные работником для распространения, – персональные данные, доступ неограниченного круга лиц к которым предоставлен работником путем дачи согласия на обработку персональных данных, разрешенных работником для распространения в порядке, предусмотренном законодательством.
2.1.9. Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

2.2. Состав персональных данных:
– фамилия, имя, отчество (при наличии) работника;
– дата и место рождения работника;
– адрес проживания (регистрации) работника;
– семейное, социальное, имущественное положение работника;
– образование и профессия работника;
– доходы работника, его имущество и имущественные обязательства;
– другая аналогичная информация, на основании которой возможна безошибочная идентификация работника – субъекта персональных данных.

2.3. Примерный перечень документов, содержащих персональные данные работников ООО "Бета":
– комплексы документов, сопровождающие процесс оформления трудовых отношений при приеме на работу, переводе, увольнении;
– комплекс материалов по анкетированию, тестированию, проведению собеседований с кандидатом на должность;
– подлинники и копии приказов (распоряжений) по кадрам;
– личные карточки, личные дела и трудовые книжки, журналы учета трудовых книжек;
– должностные инструкции (инструкции по профессии) работников;
– материалы по учету рабочего времени;
– дела, содержащие документы-основания к приказам по личному составу;
– дела, содержащие материалы аттестаций работников;
– дела, содержащие материалы внутренних расследований;
– справочно-информационный банк данных по персоналу (картотеки, журналы);
– подлинники и копии отчетных, аналитических и справочных материалов, передаваемых руководству ООО "Бета", руководителям структурных подразделений;
– подлинники и копии отчетов, направляемых в государственные органы статистики, налоговые инспекции и другие учреждения.

3. ПОРЯДОК ПОЛУЧЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1. Лицами, ответственными за получение персональных данных, являются работники отдела кадров ООО "Бета".
3.2. Все персональные данные работника отдел кадров получает непосредственно от самого работника, за исключением случаев, предусмотренных п. 3.5 настоящего Положения.
3.3. Согласие на обработку персональных данных, разрешенных работником для распространения, оформляется отдельно от иных согласий работника на обработку его персональных данных. Отдел кадров обязан обеспечить работнику возможность определить перечень персональных данных по каждой категории, указанной в согласии на обработку персональных данных, разрешенных работником для распространения.
3.4. Отдел кадров истребует у работника сведения, содержащие персональные данные, по мере необходимости. Работник предоставляет требуемые сведения, а также предъявляет документы, подтверждающие достоверность этих сведений.
3.5. Отдел кадров не имеет права получать персональные данные работника, если они касаются расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, его членства в общественных объединениях или его профсоюзной деятельности. Исключением является, в частности, запрос на информацию о состоянии здоровья работника, которая относится к вопросу о возможности выполнения работником трудовой функции.
3.6. Если персональные данные работника возможно получить только у третьей стороны, отдел кадров уведомляет об этом работника заранее. В уведомлении должны содержаться цели, предполагаемые источники и способы получения персональных данных, характер подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение. Только после получения от работника письменного согласия работник отдела кадров направляет третьей стороне соответствующий запрос и получает необходимые данные.
3.7. При изменении персональных данных работник письменно уведомляет отдел кадров о таких изменениях в разумный срок, не превышающий 14 календарных дней.

4. ПОРЯДОК ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. Лицами, ответственными за обработку персональных данных, являются работники отдела кадров и бухгалтерии ООО "Бета".

4.2. Обработка персональных данных работника может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, получении образования и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества.
Обработка персональных данных работников ООО "Бета" возможна только с их согласия либо без их согласия в следующих случаях:
– персональные данные относятся к состоянию здоровья работника, их обработка необходима для защиты его жизни, здоровья или иных жизненно важных интересов других лиц, и получение согласия работника невозможно;
– по требованию полномочных государственных органов – в случаях, предусмотренных федеральным законом.
Работодатель вправе обрабатывать персональные данные работников только с их письменного согласия. Равнозначным содержащему собственноручную подпись работника письменному согласию на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью.
Письменное согласие работника на обработку его персональных данных должно включать в себя, в частности:
– фамилию, имя, отчество, адрес работника (субъекта персональных данных), номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
– фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя работника);
– наименование или фамилию, имя, отчество и адрес работодателя, получающего согласие субъекта персональных данных;
– цель обработки персональных данных;
– перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
– наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению работодателя, если обработка будет поручена такому лицу;
– перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых работодателем способов обработки персональных данных;
– срок, в течение которого действует согласие работника (субъекта персональных данных), а также способ его отзыва, если иное не установлено федеральным законом;
– подпись работника (субъекта персональных данных).
Согласие работника не требуется в следующих случаях:
– обработка персональных данных осуществляется на основании Трудового кодекса РФ или иного федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определенного полномочия работодателя;
– обработка персональных данных осуществляется в целях исполнения трудового договора;
– обработка персональных данных осуществляется в статистических или иных или иных исследовательских целях при условии обязательного обезличивания персональных данных;
– обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов работника, если получение его согласия невозможно.

4.3. При обработке персональных данных ООО "Бета" руководствуется следующими принципами:
1) обработка должна осуществляться на законной и справедливой основе;
2) обработка должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка, несовместимая с целями сбора персональных данных;
3) не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
4) обработке подлежат только те персональные данные, которые отвечают целям обработки;
5) содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Не допускается обработка избыточных данных по отношению к заявленным целям обработки;
6) при обработке должны быть обеспечены точность и достаточность персональных данных, а в необходимых случаях – актуальность по отношению к целям обработки. ООО "Бета" должно принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных;
7) форма хранения персональных данных должна позволять определять субъект этих данных. Хранение не должно длиться дольше, чем этого требуют цели обработки, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом;
8) передача (распространение, предоставление, доступ) персональных данных, разрешенных работником для распространения, должна быть прекращена в любое время по требованию работника. Данное требование должно включать в себя фамилию, имя, отчество (при наличии), контактную информацию (номер телефона, адрес электронной почты или почтовый адрес) работника, а также перечень персональных данных, обработка которых подлежит прекращению.
Передача (распространение, предоставление, доступ) персональных данных, ранее разрешенных работником для распространения, должна быть также прекращена в случае несоблюдения законодательства или обращения работника с таким требованием в суд. Прекратить передачу (распространение, предоставление, доступ) персональных данных нужно в течение трех рабочих дней с момента получения такого требования работника или в срок, указанный во вступившем в законную силу решении суда, а если такой срок в решении суда не указан, то в течение трех рабочих дней с момента вступления решения суда в законную силу.

4.4. При получении персональных данных у третьей стороны работник отдела кадров (бухгалтерии) до начала обработки таких персональных данных обязан предоставить работнику следующую информацию:
– наименование либо фамилия, имя, отчество и адрес оператора или его представителя;
– цель обработки персональных данных и ее правовое основание;
– перечень персональных данных;
– предполагаемые пользователи персональных данных;
– права субъекта персональных данных;
– источник получения персональных данных.

4.5. При обработке персональных данных работников работодатель применяет правовые, организационные и технические меры по обеспечению безопасности персональных данных в соответствии со ст. 19 Федерального закона № 152-ФЗ от 27 июля 2006 г., Требованиями, утв. Постановлением Правительства РФ № 1119 от 1 ноября 2012 г. и другими нормативными и методическими документами, регламентирующими порядок обработки персональных данных.
При обработке персональных данных работники отдела кадров (бухгалтерии) обязаны принимать необходимые организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий.

4.6. При обработке персональных данных работники отдела кадров (бухгалтерии) и иные лица, получившие доступ к персональным данным, должны обеспечивать их конфиденциальность. Указанные работники и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия работника (субъекта персональных данных), если иное не предусмотрено федеральным законом.

4.7. В случае выявления неправомерных действий с персональными данными работника:
– работник или его представитель (в т. ч. уполномоченный орган по защите прав) обращается к генеральному директору ООО "Бета" с заявлением;
– генеральный директор ООО "Бета" издает распоряжение о блокировании персональных данных, относящихся к соответствующему работнику, с момента такого обращения или получения такого запроса на период проверки и назначает ответственного за проведение служебного расследования;
– если в ходе служебного расследования подтвердился факт использования недостоверных персональных данных, то работник отдела кадров, ответственный за получение персональных данных, обязан уточнить персональные данные, внести соответствующие изменения и поправки в документы и снять их блокирование;
– если в ходе служебного расследования выявлен факт неправомерных действий с персональными данными, то работник отдела кадров (бухгалтерии), ответственный за обработку данных и допустивший подобные действия, в срок, не превышающий трех рабочих дней с даты такого выявления, обязан устранить допущенные нарушения. Об устранении допущенных нарушений работник отдела кадров, ответственный за получение персональных данных, обязан уведомить работника.

4.8. Персональные данные работников могут быть получены и проходить дальнейшую обработку как на бумажных носителях, так и в электронном виде (посредством использования информационных систем).

5. ПОРЯДОК ПЕРЕДАЧИ ПЕРСОНАЛЬНЫХ ДАННЫХ И ДОПУСК К НИМ

5.1. При передаче персональных данных работника ООО "Бета" нужно соблюдать следующие требования:
– не сообщать персональные данные работника третьей стороне без отдельного письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных федеральными законами;
– не сообщать персональные данные работника в коммерческих целях без его отдельного письменного согласия;
– предупреждать лиц, получающих персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные работника, должны быть осведомлены о том, что они обязаны соблюдать режим секретности (конфиденциальности) в отношении переданных им персональных данных;
– передавать персональные данные работника представителям работников в порядке, установленном федеральными законами, и ограничивать эту информацию только теми персональными данными работника, которые необходимы для выполнения указанными представителями их функций;
– прекратить передачу (распространение, предоставление, доступ) персональных данных, ранее разрешенных работником для распространения, по требованию работника в соответствии с пп. 8. п. 4.3 настоящего Положения.

5.2. Внутренний доступ к персональным данным имеют:
– руководство ООО "Бета";
– работники отдела кадров;
– работники бухгалтерии – к тем данным, которые необходимы для выполнения конкретных функций;
– непосредственные руководители работников – к тем данным, которые необходимы для выполнения конкретных функций;
– работники – субъекты персональных данных.

5.3. Работник, который является носителем персональных данных, имеет право:
– на полную информацию о своих персональных данных и их обработке;
– свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные работника;
– требование об исключении или исправлении неверных или неполных персональных данных, а также данных, подвергшихся обработке с нарушением законодательства, согласно п. 4.7, пп. 8. п. 4.3 настоящего Положения.

5.4. Внешний доступ к персональным данным имеют:
– налоговые инспекции;
– правоохранительные органы;
– органы статистики;
– страховые агентства;
– военкоматы;
– органы социального страхования;
– пенсионные фонды;
– подразделения муниципальных органов управления.

5.5. Сведения о работающем работнике или уже уволенном могут быть предоставлены другой организации только при наличии письменного запроса на бланке организации с приложением копии заявления работника о согласии предоставить персональные данные.

5.6. Персональные данные работника могут быть предоставлены родственникам или членам его семьи только с письменного согласия самого работника. В случае развода бывшая супруга (супруг) имеет право обратиться в ООО "Бета" с письменным запросом о размере зарплаты работника. Информация о размере зарплаты в этом случае предоставляется при условии, что работник дал работодателю письменное согласие на передачу его персональных данных (в т. ч. сведений о размере зарплаты) третьей стороне.

6. ПОРЯДОК ХРАНЕНИЯ И ИСПОЛЬЗОВАНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ

6.1. Защита персональных данных работника от неправомерного их использования или утраты должна быть обеспечена работодателем за счет его средств.
6.2. Персональные данные на бумажных носителях хранятся в сейфе.
6.3. Документы, находящиеся в работе отдела кадров (бухгалтерии), которые содержат персональные данные, могут находиться на рабочих столах или в специальных папках только в течение рабочего дня. По окончании рабочего дня данные документы должны убираться в запирающиеся шкафы (сейфы).
6.4. Документы соискателей, которые не были приняты на работу, сшиваются по месяцам и по профилям специалистов и хранятся в запирающихся шкафах в течение шести месяцев. Далее документы подлежат уничтожению.
6.5. Персональные данные на электронных носителях должны быть защищены паролем доступа. Доступ к электронным базам данных, содержащим персональные данные, осуществляется только посредством использования индивидуальных паролей. Право на использование персональных данных имеют только работники отдела кадров и бухгалтерии.
6.6. При принятии решений, затрагивающих интересы работника, ООО "Бета" не имеет права основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного получения.
6.7. Копировать и делать выписки из персональных данных работника разрешается исключительно в служебных целях с письменного разрешения генерального директора ООО "Бета", его заместителя, начальника отдела кадров или главного бухгалтера.

7. ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЕ НОРМ, РЕГУЛИРУЮЩИХ ПОЛУЧЕНИЕ, ОБРАБОТКУ И ЗАЩИТУ ПЕРСОНАЛЬНЫХ ДАННЫХ

7.1. Если работник считает, что должностное лицо ООО "Бета" осуществляет обработку его персональных данных с нарушением требований настоящего Положения или иным образом нарушает его права и свободы, он вправе обжаловать действия или бездействие должностных лиц ООО "Бета" в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.
7.2. Работник имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
7.3. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных работника, привлекаются к дисциплинарной, материальной, гражданско-правовой, административной и уголовной ответственности в порядке, установленном федеральными законами.

8. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

8.1. Настоящее Положение и изменения к нему утверждаются Генеральным директором ООО "Бета" и вводятся приказом.
8.2. Все работники должны быть ознакомлены с текстом настоящего Положения и изменениями к нему под подпись.
8.3. Контроль за исполнением настоящего Положения возлагается на начальника отдела кадров ООО "Бета".

Положение составила:

Начальник отдела кадров _________________________ Е.В. Васильева

Согласовано:

Юрист _________________________ Н.А. Павлов

01.09.2022