Изменения Закона о персональных данных – это повод провести аудит и актуализацию работы с персональными данными в организации. Что стоит сделать службе делопроизводства совместно с кадровой службой: какие приказы и ЛНА проверить, какие формы документов утвердить (опубликовали образцы новой разновидности согласия (на распространение персданных) и отзыва согласия).
Описана современная лучшая практика работы с личными делами сотрудников с учетом защиты персональных данных: кого стоит знакомить с личными делами, как это организовать и документировать; как хранить часть документов о работнике вне личного дела (чтобы после увольнения не изымать из него лишнее перед сдачей в архив).
Сколько и как хранить уведомления и согласия на обработку персданных (с примером отражения в номенклатуре дел и оптимальной систематизацией документов внутри дела).
Повод для аудита
Соблюдение требований Федерального закона от 27.07.2006 № 152‑ФЗ «О персональных данных» 1 обеспечивается комплексом организационных и технологических мероприятий. В реализации организационных мер активную роль играют службы делопроизводства и кадров. В связи со вступлением в силу с 1 марта 2021 года изменений в Закон № 152‑ФЗ служба делопроизводства может стать активным участником внутренних процедур аудита системы работы с персональными данными в организации.
Во-первых, вместе с первым руководителем необходимо проверить актуальность приказа о назначении ответственного за организацию работы с персональными данными, поставить его на контроль по сроку действия (с напоминанием 1 раз в полгода о поддержании приказа в актуальном состоянии при смене персоналий). Таким ответственным назначается, как правило, заместитель руководителя организации, и в случае его смены необходимо будет издание нового приказа.
Во-вторых, совместно с уполномоченным заместителем, кадровой службой и даже экспертной комиссией организации по работе с конфиденциальной информацией и документами (образуется, как правило, в крупных организациях) надо решить вопрос:
- о включении в Перечень конфиденциальной информации и документов конкретного списка обрабатываемых и распространяемых (с согласия работников) персональных данных (включая биометрические, особенно личные фото) или
- о разработке в плановом порядке отдельного Перечня персональных данных, в котором необходимо закрепить категории и конкретный список персональных данных, обработку которых работник разрешает (путем оформления согласия) или обработка которых запрещена (с указанием срока действия).
Далее на основе Перечня и с учетом положений о структурных подразделениях (отделах и пр.) и должностных инструкций, которые также подлежат регулярному обновлению, необходимо проверить актуальность приказа о назначении ответственных за обработку персональных данных работников организации. В такой приказ включаются:
- кроме сотрудников кадровой службы,
- бухгалтерии и
- службы делопроизводства
- еще и руководители структурных подразделений,
- а при необходимости – их заместители и секретари подразделений, т. к. они тоже должны получить права доступа к персональным данным работников своих подразделений, о чем работники должны быть уведомлены.
В связи с функциями кадровой службы, бухгалтерии и ИТ-отдела рекомендуем проверить актуальность приказа об утверждении мест хранения материальных носителей персональных данных и соответствующих ответственных за хранение.
Изменения в Закон № 152‑ФЗ – хороший повод проверить актуальность действующих в организации локальных нормативных актов об обработке и защите персональных данных:
- начиная с обязательно публикуемой на сайте Политики обработки и защиты персональных данных, в которой заявляются обязательства оператора,
- и заканчивая Правилами формирования и ведения личных дел, которыми руководствуется кадровая служба (лучше регламентировать этот процесс, если у вас ведутся личные дела).
В Политику необходимо внести актуальные изменения о «разрешенных субъектом персональных данных для распространения» вместо «общедоступных» персональных данных, которые сделал свободно распространяемыми сам субъект.
Формы каких документов стоит утвердить
Обратите внимание, что Роскомнадзор и его территориальные организации контролируют не только актуальность действующих в организации локальных нормативных актов, регламентирующих работу с персональными данными. Они проверяют и формы документов, с помощью которых оператор уведомляет, а субъект персональных данных дает согласие на их обработку и разрешает их распространение. Поэтому не забудьте утвердить приказом формы применяемых уведомлений оператора и формы согласий субъекта, которых может быть несколько для разных...
