Мероприятия по защите персональных данных: обязательные и список документов

Различным организациям требуется знать персональные сведения о собственных сотрудниках, они уполномочены запрашивать свои кадры об их предоставлении.

В то же время сами работники со своей стороны имеют право ожидать, что далее эти сведения никуда не поступят, и они останутся неизвестны как другим сотрудникам компании помимо тех, кто осведомлен о них по должности, так и снаружи организации.

С целью сохранности конфиденциальности по данному направлению в различных структурах осуществляются мероприятия по защите персональных данных.Мероприятия по защите персональных данных, обязательные

Мероприятия данного рода — это любые действия в рамках организации, нацеленные на то, чтобы сведения личного характера относительно сотрудников могли знать лишь те, у кого есть такой допуск, и никто более, а эти лица в свою очередь никому их не разглашали.

Среди мероприятий по защите персональных данных различают административные (или организационные), технические (программные и аппаратные), физические и контролирующие.

В состав мероприятий внутреннего характера, нацеленных на сохранение персональных данных сотрудников организации, входит прежде всего отправка в Роскомнадзор, являющийся уполномоченной организацией, извещения о том, что компания представляет собой оператора персональных данных (сокращенно ПДн), иначе говоря, она выполняет по отношению к подобной информации такие процедуры, как сбор, хранение и обработка.

Также к таким мероприятиям относится создание пакета документации внутреннего характера, которая применяется при операциях с ПДн и последующее ее внедрение в деятельность этой структуры, в числе следующих бумаг:

  • положение, о личных данных, это документ общего характера, где описывается в целом политика компании в данной сфере;
  • список лиц, у которых есть допуск, дающий им право присутствовать в таких помещениях;

Мероприятия по защите персональных данных, обязательныеприказ о назначении лица, которое будет нести ответственность за обработку данных

  • положение о мерах технического, организационного и правового характера, нацеленных на защиту ПДн от несанкционированного доступа к ним (случайного либо намеренного и неправомерного характера), в таком положении прописываются точные меры, осуществляемые для решения таких задач, в том числе в нем может упоминаться:
  • локальные правовые акты, где описываются действия, нацеленные на выявление и устранение как нарушений в области защиты персональных данных, так и их последствий, в том числе: инструкция об осуществлении расследования в организации относительно нарушения законов в данной сфере;
  • журнал подготовки по дисциплине безопасность ПДн и последующей проверки по нему знаний сотрудников с соответствующей аттестацией;
  • журнал проверок с помощью антивирусов и определения уровня работы с такого рода сведениями;
  • должностные инструкции для кадров, которые в своей деятельности знакомятся с персональными данными других работников организации;

Мероприятия по защите персональных данных, обязательныеПомимо этого организуется пропускной режим для контроля доступа в помещения, где находятся носители персональных данных. Определяется перечень документов, в которых на данном предприятии могут содержаться персональные данные (в остальных их быть не может). В организации создают закрытый список сотрудников организации, которым разрешается взаимодействовать с персональными данными, в том числе назначают лиц, которые осуществляют процедуры по сохранению секретности таких ПДн.

Сотрудники на предприятии знакомятся с существующими нормами в сфере защиты ПДн, в частности все лица, которые располагают доступом к таким сведениям, должны обладать требуемым объемом знаний в отношении правовых норм по данному вопросу.

Проводится регулярная проверка наличия у сотрудников знаний, приобретенных ими в ходе инструктажа, осуществляемого в соответствии с предыдущим пунктом, в также исполнения ими требований.

Кроме того, выполняют профилактическую работу с персоналом, нацеленная на предотвращение раскрытия ими ПДн;

Рабочие места на предприятии размещают с таким расчетом, чтобы затруднить сотрудникам случайный, равно как и намеренный доступ к персональным данным. Для защиты сведений используют программные средства, в том числе пароли и антивирусы. Сами ПДн сохраняют отдельно от иной информации. Наконец, для сведений, необходимость в которых отпала, определяют порядок осуществления их уничтожения.

Читайте так же:   Медицинские осмотры сотрудников согласно статьи 213 ТК РФ

Мероприятия внешнего характера включают пропускной режим на входе в предприятие в целом (а не конкретно в его помещения, где содержатся ПНД), а также использование технических охранных средств, а также ПО для того, чтобы обезопасить нужную информацию от доступа снаружи.

Мероприятия по защите персональных данных, обязательные

Кроме того, необходимо упомянуть руководителей предприятия, в том числе генерального директора, который осуществляет общее руководство данным направлением, а также принимает своими приказами и распоряжениями локальные правовые акты и назначает людей на должности, связанные с охраной ПДн;

Помимо этого, по данному направлению задействуются лица из упомянутого выше закрытого списка сотрудников, получающих доступ к таким сведениям, на практике допуск к ПНд обычно предоставляется:

  • специалистам по кадрам;
  • сотрудникам бухгалтерского отдела;
  • секретарям, занятым делопроизводством;
  • лицам, которые осуществляют заключение трудовых соглашений с соискателями;
  • юристам;
  • инженерам;
  • программистам.

Что такое план мероприятий

План мероприятий по защите персональных данных — это список действий по данному профилю.

Мероприятия по защите персональных данных, обязательныеПлан мероприятий по защите персональных данных принимается в виде локального правового акта по организации. Его оформляет руководитель этой структуры своим приказом. Непосредственную разработку документа осуществляют специалисты в данной сфере, после чего он поступает к главе организации на утверждение. План имеет форму таблицы. Сверху находится шапка с реквизитами. Далее идет название документа. Ниже сама таблица с тремя графами.

В первой содержится наименование мероприятий (по данному профилю, то есть нацеленных на защиту персональных данных), в частности это могут быть:

  • проведение инструктажа;
  • обследование информационных систем;
  • организация охраны;
  • и т.п.

Во второй указывается лицо, ответственное за соответствующее мероприятие.

Наконец, в третьей приводится срок его выполнения (если это либо отдельное мероприятие, либо длительная, но одноразовая процедура) или его регулярность, если такое действие является повторяющимся.

Этот документ, также как и предыдущий выполняется в табличной форме. Образец плана внутренних проверок режима защиты персональных данных имеет определенную структуру.

Сверху располагается шапка, в которой первое слово — утверждено либо утверждаю. Далее в этой шапке идет название должности утверждающего лица, это может быть руководитель государственного ведомства, а также генеральный директор компании, потом следует его фамилия, имя и отчество, еще ниже идет дата составления документа.

Следом по центру располагается обозначение самого документа: в первой строчке — план внутренних проверок, под ней — уточнение — «режима (либо состояния) защиты персональных данных в такой-то организации».

  • Еще ниже идет основное содержание документа, который выполняется в виде таблицы с тремя графами.
  • Первая имеет название «Мероприятие», в этом столбце указываются сами мероприятия;
  • Вторая обозначается как срок/периодичность, соответственно в ней приводятся либо даты, когда произойдет та или иная процедура, либо их регулярность (они могут быть ежедневными, еженедельными, ежемесячными и ежегодными);
  • Наконец, у третьей колонки обозначение — ответственный/исполнитель, там пишутся ФИО лица, отвечающего за мероприятие, которое указано в той же строчке в первом столбце.

Мероприятия по защите персональных данных, обязательные

Источник: https://ZnayBiz.ru/kadry/rezhim/trudovaya-disciplina/obrazec-plana-meropriyatij.html

Что такое система защиты персональных данных? Мероприятия по обеспечению безопасности и инструкция по разработке СЗПД

Мероприятия по защите персональных данных, обязательные

Возросшие технические возможности по копированию и распространению конфиденциальной информации привели к необходимости использования средств по защите персональных данных.

Это комплекс мероприятий технического, организационного и организационно-технического характера; он предполагает возможность избежать злоупотреблений личными сведениями, предотвратить использование мошеннических схем в Интернете, которые представляют угрозу законным правам и интересам личности.

Что это такое?

Постановление Правительства РФ от 01.11.2012 N 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» предъявляет особые требования к информсистемам, содержащим персональные данные, и предполагает создание особых средств и систем защиты информации.

Система защиты персональных данных (СЗПД) – это комплекс мер и мероприятий организационного и технического характера, направленных на противодействие несанкционированному доступу к закрытой информации с учетом актуального типа угроз безопасности(п. 2 Постановления Правительства РФ от 01.11.2012 N 1119).

СЗПД должна быть выстроена таким образом, чтобы действовать эффективно, но в то же время обеспечивать непрерывность внутренних процессов компании или организации.

Какие существуют уровни защищенности?

В соответствии со статьей 19 Федерального закона «О персональных данных» № 152 от 27.07.2006 года, Правительство РФ устанавливает 4 уровня защищенности:

  1. УЗ-1 – максимальный.
  2. УЗ-2 – высокий.
  3. УЗ-3 – средний.
  4. УЗ-4 – низкий.

Определение уровня защищенности информации осуществляется с учетом категории обрабатываемых данных, вида обработки, количества субъектов и типа угроз. Это позволяет предпринять соответствующие эффективные меры , гарантирующие информационную безопасность ПД.

Детально выбор средств в соответствии с уровнем защиты и типом угроз освещен в пунктах 4-16 Постановления Правительства РФ от 01.11.2012 N 1119.

Важно! Контролировать выполнение требований по защищенности информации, оператор может самостоятельно либо привлечь лицензированную организацию, которая специализируется на создании и реализации СЗПД.

Мероприятия по защите ПД – это комплекс мер, направленных на надежную охрану конфиденциальной информации, которую субъект предоставляет оператору организации.

Организационные меры включают:

  1. Оповещение Роскомнадзора о начале обработки персональных данных путем отправки в орган соответствующего уведомления.
  2. Разработка пакета документации для внутреннего пользования, которой регламентируются операции с ПД, их обработка и хранение, в частности это Положение о персональных данных, Приказ о назначении ответственного за обработку ПД лица, должностные инструкции и пр. Больше информации о пакете документов, необходимых для создания защиты персональных данных, найдете тут, а про документы, необходимые для защиты ПД работников в организациях, мы рассказываем здесь.
  3. Внедрение пропускного режима для доступа на объект, где хранятся и обрабатываются данные.
  4. Подписание соглашений с третьими лицами, которые участвуют в обработке информации.
  5. Составление перечня ограниченного круга лиц, которые имеют право работать с ПД и несут ответственность за конфиденциальность информации.
  6. Рациональное расположение рабочих мест в организации, исключающее несанкционированный доступ к личным сведениям.
  7. Внутренний контроль за соблюдением требований к защите ПД в соответствии с законодательством.
Читайте также:  Генеральная доверенность на автомобиль: продажа и в чем удобство, правила оформления документа

Технические меры предполагают использование программных и аппаратных средств информационной защищенности.Они направлены на:

  • предупреждение неправомерного доступа – внедрение системы разграничения доступа, установка антивирусных программ, межсетевых экранов, криптографических и блокировочных средств;
  • предотвращение технической информационной утечки – применение экранированных кабелей, высокочастотных фильтров, систем зашумления и пр.

Средства и способы защиты оператор выбирает самостоятельно с учетом актуальных угроз и особенностями операций, совершаемых с ПД.

Пошаговая инструкция по разработке СЗПД

Процессы обработки и защиты ПД должны строго соответствовать законодательным актам РФ, прежде всего положениям Федерального закона № 152-ФЗ «О персональных данных». Это можно реализовать только при помощи грамотно выстроенной системы. Создание системы – процесс сложный, который выполняется поэтапно:

  1. Издание внутреннего приказа, в соответствии с которым начинаются процессы подготовки и реализации мер по защите ПД и построение защитной системы. В приказе обязательно должен быть указан сотрудник, который несет ответственность за выполнением соответствующих мероприятий, перечисляются локальные документы, в том числе Положение по защите и обработке данных и состав специальной комиссии.
  2. Обследование внутренних систем, содержащих конфиденциальную информацию. На этом этапе нужно определить, является ли организация оператором ПД. Если да, то к какой категории относятся обрабатываемые данные. Составляется отчет о диагностических мероприятиях, создается акт о классификации системы информации, уровне ее защищенности и модели угроз, которым могут подвергаться личные сведения на объекте.
  3. Если в ходе обследования выяснилось, что организация является оператором ПД, направляется Уведомление в Роскомнадзор о намерении производить обработку ПД (ст. 22 Закона от 27 июля 2006 года № 152-ФЗ «О персональных данных»).
  4. Разработка и утверждение документов согласия субъекта на обработку ПД и отзыва согласия (ст. 9 Закона от 27 июля 2006 года № 152-ФЗ «О персональных данных»).
  5. Внедрение защитной системы. На этом этапе создается ряд документов, которые регламентируют внутренний порядок работы, хранения, передачи и уничтожения ПД. Составляется перечень лиц, которые допущены к обработке данных и перечень сведений, с которыми осуществляются операции.Необходимо разработать специальное Положение об обработке и защите ПД в организации, разработать инструкции пользователям и администраторам для работы с информацией, для резервного копирования и восстановления.
  6. Определение содержания технических защитных мер. В частности, они должны оберегать информацию от несанкционированного доступа, включать антивирусные и криптографические средства и пр. (Приказ ФСТЭК России от 18.02.2013 № 21).
  7. Подписание «Заключения о соответствии системы защиты данным, обрабатываемым в информационных системах организации».

Подробную инструкцию по реализации защиты ПД в различных организациях найдете тут.

Для учета и хранения данных заводится специальный журнал. При списании и уничтожении носителей информации бумажного и электронного типа составляется соответствующий акт. Информация об изменениях технического оснащения, структуры организации, расширении площадей или принятии новых защитных мер должна быть внесена в весь комплекс внутренней документации.

Техсредства защиты информации должны быть сертифицированы и правильно настроены. Со списком сертифицированных средств можно ознакомиться на сайте ФСТЭК России.

Источник: https://101million.com/personal/priem-na-rabotu/konfidentsialnaya-informatsiya/personalnye-dannye/zashhita/sistema-zpd.html

Меры по обеспечению защиты персональных данных в организации | Организация защиты персональный данных в организации по ФЗ №152-ФЗ «О персональных данных»

Любая организация, занимающаяся работой с персональными данными (ПД) и их передачей, считается оператором ПД. Операторы ПД должны руководствоваться в своей деятельности законом РФ № 152-ФЗ «О персональных данных» от 27 июля 2006 года и другими правовыми нормами.

Оператор должен пройти регистрацию в Реестре операторов ПД в Роскомнадзоре на официальном сайте регулятора и указать, с какой целью он применяет собранные и запрашиваемые ПД. Если использование ПД служащих предусмотрено трудовым законодательством, то организация имеет право работать с ними без извещения Роскомнадзора.

Обязанностью оператора является принятие необходимых мер для защиты ПД от несанкционированного использования: фальсификации, копирования, удаления, блокировки, распространения и других противозаконных действий.

Регламентация содержания ПД, связанных с трудовой деятельностью

В ПД входят практически все сведения о человеке. ПД определяется самими операторами. Но имеют место случаи, когда их содержание четко регламентируется нормативно-правовыми актами, и отступление от этих требований является незаконным. На любом предприятии в форму учета кадров заносятся следующие сведения (персональные данные) о каждом работнике:

  • ФИО;
  • информация о дате рождения;
  • гражданство;
  • СНИЛС;
  • индивидуальный налоговый номер;
  • владение иностранными языками;
  • полученное образование;
  • приобретенные профессии, специальности;
  • сведения о составе семьи;
  • место проживания;
  • контакты;
  • отношение к военной обязанности;
  • трудовая деятельность.

Защита персональных данных

Юридические и физические лица, работающие с ПД, обязаны организовать надлежащую защиту этих сведений. Предусматривается внутренняя и внешняя защита ПД на предприятии и в любой организации.

К внутренней защите ПД относятся такие действия:

  • допуск к ПД работников только строго определенного внутренними документами круга лиц, которым эти сведения необходимы для выполнения своих обязанностей, предусмотренных для занимаемой должности;
  • назначение ответственного служащего, который следит за выполнением правовых норм в области защиты ПД;
  • создание списка документации, в которой содержатся ПД;
  • выпуск регламентирующей документации по защите ПД для внутреннего пользования и контроль за соблюдением правил;
  • ознакомление служащих, обрабатывающих персональные данные, с правовыми нормами по их защите и внутренними регламентирующими документами;
  • периодическая проверка осведомленности служащих по этим вопросам и контролирование выполнения ими нормативных актов по защите конфиденциальных данных;
  • рабочие места должны быть размещены таким образом, чтобы посторонние лица не могли видеть конфиденциальные сведения;
  • создание препятствий для воздействия на техсредства, осуществляющие автоматизированную обработку ПД, в результате которого может нарушиться их работа;
  • формирование списка лиц, имеющих право находиться в кабинетах с персональными данными;
  • описание процедуры удаления неиспользуемой информации;
  • своевременное выявление и устранение нарушений норм защиты ПД;
  • проведение профилактических мероприятий по недопущению разглашения сотрудниками обрабатываемых личных данных.

Внешняя защита ПД предполагает следующие действия:

  • пропускной режим;
  • соблюдение установленных правил приема посетителей и их учета;
  • использование приборов для охраны;
  • программная защита данных.

Информационные системы персональных данных (ИСПД)

Информационные системы персональных данных – это функционирующий набор информационных, аппаратных и программных составляющих.

В состав ИСПД входят:

  • обрабатываемые ПД;
  • технология работы с информацией средствами вычислительной техники;
  • техсредства и приспособления (серверы, рабочие терминалы, сети передачи данных, принтеры, сканеры и т. п.);
  • средства защиты информации.

Защитные мероприятия при работе в ИСПД

Чтобы уберечь персональные данные от несанкционированного распространения, необходимо выполнение следующих мероприятий по их защите:

  • определение актуальных угроз безопасности;
  • формирование моделей угроз;
  • разработка систем защиты ПДн (СЗПДн);
  • проверка работоспособности средств защиты информации (СЗИ);
  • заключение о пригодности к эксплуатации;
  • установка и ввод в эксплуатацию СЗИ;
  • обучение сотрудников работе с СЗИ;
  • контроль работы СЗИ;
  • оформление техдокументации;
  • определение круга сотрудников, допущенных к работе с ИСПД;
  • при обнаружении нарушения условий хранения носителей ПД – проведение расследования и составление заключения;
  • принятие мер по ликвидации последствий этих нарушений;
  • обеспечение охраны помещений с оборудованием ИСПД и организация режима допуска;
  • проведение мероприятий по недопустимости утечки информации по техническим каналам.

Защита ПД от несанкционированного доступа

Средствами защиты от несанкционированного доступа служат их подсистемы:

  • управление доступом к ПД, регистрация и учет всех действий с этими данными;
  • обеспечение целостности персональной информации;
  • применение антивирусной защиты для сохранения ПД и предотвращения вирусных атак;
  • создание межсетевого экрана;
  • анализ защищенности и принятие мер по ее усилению;
  • обнаружение вторжений, своевременная их локализация.

Подсистема управления доступом – это не входящие в ядро ОС средства их защиты, а также системы управления баз данных и других программ. К этим средствам защиты относятся специальные утилиты, производящие тестирование файловой системы, журналирование действий, сигнализацию о несанкционированном проникновении в систему.

Для подсистемы антивирусной защиты можно использовать антивирусные средства Лаборатории Касперского, которые также имеют сертификат ФСБ. В зависимости от уровня защищенности ИСПД можно использовать межсетевые экраны третьего-четвертого уровня защиты.

Подсистема анализа защищенности осуществляет контроль настроек защиты ОС на рабочих терминалах и серверах. Она выдает отчет со сведениями об обнаруженных уязвимостях. По результатам сканирования принимаются меры по устранению выявленных недочетов.

Для подсистемы анализа можно использовать сетевой сканер безопасности Xspider фирмы Positive Technologies, сертифицированный ФСТЭК России. Для подсистемы обнаружения вторжений специалисты рекомендуют продукт Cisco Intrusion Detection System, сертифицированный ФСТЭК.

Читайте также:  Виды кредитов по цели и срокам: стороны договора, классификация и особенности определения

Перед началом ввода ИСПД в эксплуатацию необходимо провести ее аттестацию безопасности и получить Аттестат соответствия требованиям ФСТЭК России.

Аттестация ИСПД по требованиям безопасности информации выполняется до начала обработки информации, которая подлежит защите. Она официально подтверждает эффективность комплексных решений, применяемых в ИСПД мер и инструментов защиты информации

Как документально оформить защиту персональных данных

Исходя из практической целесообразности, можно издать следующие документы:

  • положение о ПД;
  • список служащих, работающих с персональными данными;
  • приказ об утверждении работника, отвечающего за работу с персональными данными;
  • положение о мерах по ЗПД;
  • инструкцию о служебном расследовании фактов разглашения личных данных работников;
  • инструктаж по ЗПД;
  • журнал антивирусных проверок;
  • журнал контроля использования ПД для служебной необходимости.

Передача персональных данных третьим лицам

Чтобы обеспечить соблюдение норм закона о получении согласия физического лица на обработку и передачу ПД, можно оформить коллективный договор со служащими, в котором перечислить всех третьих лиц с указанием наименований, адресов, срока использования данных. Все работники организации должны этот договор подписать.

Необходимо знать, что законодательство РФ предусматривает передачу персональных данных судебным органам и другим правоохранительным инстанциям без необходимости получения согласия на эти действия.

Источник: https://searchinform.ru/resheniya/biznes-zadachi/zaschita-personalnykh-dannykh/realizaciya-zashchity-personalnyh-dannyh/mery-po-obespecheniyu-zashchity-personalnyh-dannyh-v-organizacii/

План мероприятий по защите персональных данных — образец

Мероприятия по защите персональных данных (ПДн) позволяют обеспечить надежную защиту конфиденциальности сведений, получаемых работодателем от работников. Из этой статьи читатель узнает о том, какие организационные мероприятия по защите ПДн могут быть осуществлены работодателем, а также ознакомится с примерным образцом составления плана реализации таких мероприятий.

Организационные мероприятия по защите персональных данных

Для обеспечения конфиденциальности ПДн на предприятии должна быть сформирована многоуровневая система защиты информации, позволяющая ограничить доступ лиц, не обладающих достаточными полномочиями, к сведениям, позволяющим идентифицировать личности работников, входящих в штат. Комплекс мероприятий по защите персональных данныхвключает организационную и техническую составляющие.

Организационные мероприятия по защите персональных данных включают:

  • направление в адрес уполномоченного органа (Роскомнадзор) уведомления о том, что предприятие выступает в качестве оператора ПДн (т. е. занимается сбором, обработкой и хранением сведений, принадлежащих к указанной категории);
  • разработку пакета внутренней документации, используемой при работе с ПДн и внедрение ее в практическую деятельность предприятия (к таким документам могут относиться Положение о защите ПДн; должностные инструкции работников, непосредственно взаимодействующих с ПДн других сотрудников; инструкции, определяющие порядок доступа к помещениям, в которых осуществляется обработка и хранение ПДн и пр.);
  • введение пропускного режима при осуществлении доступа в помещения, в которых хранятся ПДн;
  • определение закрытого перечня должностных лиц, которые могут работать с ПДн, а также назначение ответственных лиц, в обязанности которых входит обеспечение конфиденциальности ПДн и пр.

План мероприятий по защите персональных данных — образец составления

  • Представляем вниманию читателя актуальный образец плана:
  • ООО «Крымские травы»
  • Утверждаю
  • Генеральный директор ООО «Крымские травы»
Мероприятие Периодичность, срок исполнения Исполнитель / ответственное лицо Отметка об исполнении
Внутренняя проверка текущего состояния системы защиты ПДн

Источник: https://nsovetnik.ru/personalnye_dannye/plan_meropriyatij_po_zawite_personalnyh_dannyh_obrazec/

План мероприятий по защите персональных данных образец бланк

  • В настоящее время все государственные и негосударственные предприятия  должны внедрять определенные процедуры для защиты личной информации.
  • Сохранность личной информации–защита личных данных, которая позволяет обеспечить сохранность, целостность и доступность личной информации при ее обработке в специальных информационных системах личных данных.
  • Сущность плана мероприятий по охране персональных данных

Разработка процедур по охране личных данных способствует обеспечению безопасности информации при ее обработке. Данные процедуры защищают персональные данные от утечки информации.

Сам план процедур по охране личных данных предполагает определенный список процедур, необходимый для обеспечения защиты личных данных. Процедуры должны быть оформлены в полном соответствии со всеми документами организации.

Кроме того, план процедур в обязательном порядке должен быть заверен уполномоченным лицом, которое отвечает за порядок безопасности в этой организации.

В этом документе должны быть четко прописаны все необходимые процедуры, с учетом тех, которые уже имеются. Для каждой организации порядок процедур может быть индивидуальным, например, он может зависеть от специфики самого предприятия, от существующих угроз.

Процедуры, необходимые для безопасности личных данных

В список вписываются следующие необходимые пункты процедур по охране личной информации:

  • организационные (административные);
  • физические;
  • технические (аппаратные и программные);
  • контролирующие.

В списке прописываются следующие основные пункты по охране личной информации:

  • наименование;
  • цикличность (единичное или постоянное);
  • ответственное лицо, которое должно следить за должным соблюдением этих процедур
  1. Реализация мероприятий по защите данных
  2. После проведения внутренней проверки по защите личной информации, при необходимости, в список процедур должны быть внесены коррективы.
  3. Непосредственная реализация перечня мер по защите персональной информации осуществляется после проведения внутренней проверки и составления доклада о ее результатах.
  4. Необходимые процедуры обязаны выполнять все учреждения, которые используют ИСПДн, и могут проводиться уполномоченными лицами учреждений без привлечения внешних сил.
  5. Ниже расположен типовой бланк и образец плана мероприятий по защите персональных данных вариант которого можно скачать бесплатно.

Источник: https://uristhome.ru/document/83/plan-meropriyatii-po-zashchite-personalnykh-dannykh-obrazets-blank

Меры по защите персональных даных сотрудников

За рубежом сложились два основных подхода к определению персональных данных: в некоторых государствах (Нидерланды, Швеция, Новая Зеландия и др.

) они отождествляются с любой информацией, имеющей отношение к конкретному лицу, в других – прослеживается детализация, установление определенных критериев отнесения информации к указанной категории (Великобритания и др.).

В Великобритании не допускается сбор данных о расовом происхождении, политических, религиозных и прочих взглядах работников, их физическом и умственном здоровье, сексуальной жизни, судимости.

В США многие штаты приняли законы, запрещающие предпринимателям проводить расследования прошлого нанимаемых работников. Согласно этим законам, прежде чем вступить в контакт с прежним работодателем, новый наниматель должен получить согласие на это кандидата на рабочее место.

У нас в соответствии с ТК РФ под персональными данными подразумевается информация, необходимая работодателю в связи с установлением трудовых отношений и касающаяся конкретного работника (ст. 85). При этом законодатель не устанавливает перечня таких сведений.

А это означает, что круг сведений и вид информации, которые составляют персональные данные работника, компаниям следует определять в локальном нормативном акте, но в пределах, установленных федеральным законодательством.

Другой документ, где дается характеристика персональным данным, – это ФЗ № 152 «О персональных данных».

В нем указывается, что персональные данные – это любая информация, относящаяся к определенному или определяемому на ее основе физическому лицу (субъекту персональных данных).

Она включает фамилию, имя, отчество, число, месяц, год и место рождения, а также адрес, сведения о семейном, социальном, имущественном положении, об образовании, профессии, доходах и иные.

Обязательное и добровольное предоставление данных

Предоставление данных может быть обязательным и добровольным. Обязательное предусмотрено федеральными законами (например, ФЗ от 01.04.

1996 № 27-ФЗ «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования») в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства (перечень приведен в п. 2 ст. 9 ФЗ «О персональных данных»).

Без получения согласия субъекта может осуществляться обработка его персональных данных в целях исполнения договора, одной из сторон которого он является, либо в случае, если это необходимо для доставки почтовых отправлений и т. п. Полный перечень таких исключений приведен в п. 2 ст. 6 ФЗ № 152

Соблюдения конфиденциальности не требуется и в отношении общедоступных персональных данных.

Так, столичный мировой суд отказал советнику Президента РФ Сергею Дубику в претензиях к порталу «Гражданский контроль», обнародовавшему неправомерно, по мнению чиновника, его персональные данные.

Суд признал законной публикацию на сайте «Гражданский контроль» фамилии и должности советника Путина, и судья постановила, что использование в публикациях информации об именах и должностях госслужащих не является нарушением закона.

Является ли ваша компания оператором?

Если организация, например, передает данные работника в банк для выпуска «зарплатной» карты, то она является оператором. Если у фирмы есть клиенты – физические лица, то ее также следует считать оператором. Если предприятие осуществляет передачу персональных данных в другие организации, любым лицам, то и оно – оператор.

Статья 22 Федерального закона «О персональных данных» закрепила за операторами обязанность до начала обработки персональных данных сообщать в уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять такой процесс.

Уведомления должны быть посланы в письменной форме и подписаны уполномоченным лицом или отправлены в электронном виде и подписаны электронной цифровой подписью Операторам необходимо зарегистрироваться в Реестре операторов персональных данных на сайте Роскомнадзора: rsoc.

Читайте также:  Уведомление должника о переуступке права требования: правила составления документа

ru/p582/p585/ и указать цель обработки персональных данных.

Это может быть, например, кадровый учет сотрудников по трудовому договору; исполнение трудового договора; подбор кадров; поддержка иностранных сотрудников; продвижение товаров на рынке; продажа рекламных мест; возврат утерянных паспортов; учет обращений в медицинский кабинет; организация пропускного режима; автоматизация обмена почтовыми сообщениями.

Что касается оснований, при которых работодатель вправе обрабатывать персональные данные без уведомления Роскомнадзора, то они перечислены в ч. 2 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». В частности, это можно делать, если персональные данные работника используются в соответствии с трудовым законодательством.

Обрабатывать такие данные разрешается исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, оказания содействия работникам в трудоустройстве, обучении и продвижении по службе, создания условий для личной безопасности персонала и сохранности имущества организации, контроля качества выполняемой работы (ст. 86 ТК РФ).

Итак, направлять уведомления об обработке персональных данных в Роскомнадзор нет необходимости в том случае, когда персональные данные работников обрабатываются согласно трудовому законодательству.

При этом, если работодатель планирует в рамках совместного с банком «зарплатного» проекта выплачивать зарплату работнику через банковскую карту или оформить ему договор добровольного медицинского страхования, то такие отношения выходят за рамки трудового законодательства.

Защита персональных данных

Любое юридическое лицо в силу требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» обязано принимать меры по защите персональных данных, при этом перечень таких мер оно вправе определять самостоятельно.

Мероприятия по защите персональных данных можно разделить на две большие подгруппы: по внутренней и внешней защите персональных данных.

К мерам по внутренней защите персональных данных относятся следующие действия:

• ограничение числа работников (с регламентацией их должностей), которым открыт доступ к персональным данным. Кого может включать этот перечень? Абсолютно всех, кто имеет доступ к личным делам, т. е.

сотрудников отделов кадров или ответственных за кадровое делопроизвод-
ство, работников бухгалтерии, секретарей-делопроизводителей, специалистов, которые заключают договоры с физическими лицами, а также инженеров, программистов, юристов;

  • • назначение ответственного лица, обеспечивающего исполнение организацией законодательства в рассматриваемой сфере;
  • • утверждение перечня документов, содержащих персональные данные;
  • • издание внутренних документов по защите персональных данных, осуществление контроля за их соблюдением;
  • • ознакомление работников с действующими нормативами в области защиты персональных данных и локальными актами; проведение систематических проверок соответствующих знаний работников, обрабатывающих персональные данные, и соблюдения ими требований нормативных документов по защите конфиденциальных сведений. Следует иметь в виду, что все сотрудники, которые имеют доступ к персональным данным других людей, должны быть ознакомлены с особенностями законодательства в области защиты персональных данных;
  • • рациональное размещение рабочих мест для исключения несанкционированного использования защищаемой информации;
  • • утверждение списка лиц, имеющих право доступа в помещения, в которых хранятся персональные данные;
  • • утверждение порядка уничтожения информации;
  • • выявление и устранение нарушений требований по защите персональных данных;
  • • проведение профилактической работы с сотрудниками по предупреждению разглашения ими персональных данных.
  • Среди мер по внешней защите персональных данных следует выделить такие:
  • • введение пропускного режима, порядка приема и учета посетителей;
  • • внедрение технических средств охраны, программных средств защиты информации на электронных носителях и др.
  • Несмотря на то что законом не установлены конкретные требования к количеству и содержанию локальных актов, принимаемых в организации по вопросам обработки и защиты персональных данных, практика реализации данного нормативного акта сформировала необходимый минимум документов, которые должны быть разработаны в компании:
  • • общий документ, определяющий политику фирмы в отношении обработки персональных данных, например положение о персональных данных;
  • •  список лиц, обрабатывающих персональные данные;
  • • приказ о назначении сотрудника, ответственного за организацию обработки персональных данных. Указанное лицо должно осуществлять внутренний контроль за соблюдением компанией и ее работниками законодательства о персональных данных, в том числе требований к их защите, доводить до сведения персонала положения законодательства о персональных данных, локальных актов по вопросам их обработки, а также требования к защите таких данных, организовывать прием и обработку обращений и запросов субъектов персональных данных и (или) контролировать прием и обработку таких обращений и запросов;

• положение о правовых, организационных и технических мерах защиты персональных данных от неправомерного или случайного доступа к ним, их уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении персональных данных.

В данном положении рекомендуется прописать конкретные меры по защите персональных данных (введение пропускного режима, применение программных средств защиты информации – паролей, антивирусных программ, хранение персональных данных обособленно от других сведений, на отдельных материальных носителях и в специально оборудованных помещениях с ограниченным доступом и т. д.);

•  локальный акт, устанавливающий процедуры,направленные на предотвращение и выявление нарушений законодательства в сфере защиты персональных данных, устранение последствий таких нарушений.

Так, в компании могут быть разработаны план мероприятий по внутреннему контролю безопасности персональных данных, инструкция о порядке проведения служебного расследования по фактам нарушений законодательства в сфере защиты персональных данных, вестись журнал антивирусных проверок и контроля работы с персональными данными, журнал обучения, инструктажа и аттестации по вопросам защиты персональных данных.

Иные организационные и технические меры, направленные на защиту персональных данных

Следует позаботиться также об организационных и технических мерах, предназначенных для защиты персональных данных. Вот как может выглядеть их список:

• утверждение требований к помещению, где хранятся персональные данные.

Следует иметь в виду, что законодательством они не установлены.

Однако если исходить из имеющихся аналогичных законов, учитывать положения Трудового кодекса РФ, то во избежание несанкционированного доступа к персональным данным на бумажных носителях необходимо оборудовать помещение, где они хранятся, запирающимися шкафами.

В локальном нормативном акте следует установить требования к помещению, где хранятся персональные данные, а также издать приказ об определении помещений, где обрабатываются персональные данные, и утвердить перечень лиц, имеющих допуск туда;

• обеспечение программной защиты информационной системы организации.

При использовании электронных систем обработки персональных данных необходимо учитывать требования по обеспечению безопасности таких данных, установленные в Положении об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных.

В том числе следует ограничить доступ к определенным сведениям в информационных системах (например, установить пароли и т. д.).

Целесообразно также ограничить доступ к электронным базам данных, содержащим персональные данные акционеров, двухуровневой системой паролей: на уровне локальной компьютерной сети и на уровне баз данных. Пароли должны устанавливаться администратором баз данных и администратором сети соответственно и сообщаться индивидуально сотрудникам, имеющим доступ к персональным данным, при этом их следует как можно чаще (например, ежемесячно) менять;

• ведение журнала учета работы с персональными данными. В целях соблюдения конфиденциального режима работы с персональными данными целесообразно вести журнал учета выдачи персональных данных другим лицам, организациям и государственным органам.

В нем следует регистрировать поступающие запросы, а также фиксировать сведения о лице, направившем запрос, дате передачи персональных данных или факте уведомления об отказе в их предоставлении, а также отмечать, какая именно информация была передана.

Передача персональных данных третьим лицам

Поводов для передачи персональных данных третьим лицам может быть масса – заключение договоров дополнительного медицинского страхования, получение «зарплатных» банковских карт и т. д.

Если организация большая – несколько тысяч работников, то получение с каждого из них согласия на обработку персональных данных может занять много времени. Да и сами работники от этого будут не в восторге.

Таким образом, возникает вопрос: можно ли заранее решить эту проблему, включив данный пункт в трудовой договор?

По своему опыту скажу, что собирать со всех согласие на передачу данных в любом случае придется. В трудовой договор, конечно, можно включить соответствующий пункт, но все равно необходимо будет выполнить требование о получении согласия работника. Причем проще будет оформить это согласие отдельно.

Сделайте коллективный договор с работниками и перечислите там всех тех третьих лиц, которым будут передаваться персональные данные, указав их наименование, адрес, цель передачи им данных, включив перечень их возможных действий с персональными данными и обозначив срок, в течение которого они будут обрабатывать эти данные. Все работники распишутся – и дело будет закрыто.

Какие контрольные органы вправе затребовать персональные данные

Суды и другие правоохранительные органы могут беспрепятственно получать от компаний персональные данные сотрудников, клиентов или контрагентов без согласия последних. Но ответ на вопрос о том, имеют ли аналогичные права другие контролирующие структуры и какие именно, приходится искать не только в законах, но и в судебной практике.

Источник: https://hr-portal.ru/article/mery-po-zashchite-personalnyh-danyh-sotrudnikov

Ссылка на основную публикацию