Работа с персональными данными

1.     ОБЩЕЕ ПОЛОЖЕНИЕ

Настоящее Положение устанавливает порядок обработки персональных данных сотрудников МОБУ СОШ № 30 посёлка Красного Лабинского района (далее Работодатель), их права и обязанности в этой области. Под сотрудниками подразумеваются лица, имеющие трудовые отношения с Работодателем.
            Цель настоящего Положения – развитие комплекса мер, направленных на обеспечение защиты персональных данных, хранящихся у Работодателя, от несанкционированного доступа посредством планомерных действий по совершенствованию организации труда.
            Основанием для разработки данного Положения являются:
- статья 24 Конституции Российской Федерации;
- глава 14 Трудового кодекса Российской Федерации;
- Кодекс Российской Федерации об административных правонарушениях от 30.12.2001 г.;
- Федеральный закон от 27.07.2006 N 149-ФЗ от 20.02.1995 № 24-ФЗ «Об информации, информационных технологиях и о защите информации»;
- Федеральный закон от 29.07.2004 N 98-ФЗ, с последующими изменениями «О коммерческой тайне".
- Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных".
            Персональные данные – это любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу, в том числе, его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.
            Собственником персональных данных (субъектом персональных данных), является физическое лицо, в полном объеме реализующее полномочия владения, пользования, распоряжения этими ресурсами, к личности которого относятся соответствующие персональные данные, и который вступил или изъявил желание вступить в трудовые отношения с Работодателем. Собственник персональных данных самостоятельно решает вопрос передачи Работодателю своих персональных данных.
            Держателем персональных данных является Работодатель, которому сотрудник добровольно передает во владение свои персональные данные. Работодатель выполняет функцию владения этими данными и обладает полномочиями распоряжения ими в пределах, установленных законодательством. Права и обязанности Работодателя в трудовых отношениях осуществляется физическим лицом, уполномоченным Работодателем. Указанные права и обязанности он может делегировать нижестоящему руководству – своим заместителям, руководителям структурных подразделений, работа которых требует знания персональных данных работников или связана с обработкой этих данных.
            Потребителями (пользователями) персональных данных являются юридические и физические лица, обращающиеся к собственнику или держателю персональных данных за получением необходимых сведений и пользующиеся им без передачи, разглашения.

2.     ПОНЯТИЕ И СОСТАВ ПЕРСОНАЛЬНЫХ ДАННЫХ
Под персональными данными сотрудников понимается информация, необходимая Работодателю в связи с трудовыми отношениями и касающаяся конкретного сотрудника, а также сведения о фактах, событиях и обстоятельствах жизни сотрудника, позволяющие идентифицировать его личность. Персональные данные являются конфиденциальной, строго охраняемой информацией.
            Состав персональных данных работника:
- анкетные и биографические данные;
- образование;
- сведения о трудовом и общем стаже;
- сведения о составе семьи;
- паспортные данные;
- сведения о воинском учете;
- сведения о заработной плате сотрудника;
- сведения о социальных льготах;
- специальность;
- занимаемая должность;
- наличие судимостей;
- адрес местожительства;
- домашний телефон;
- место работы или учебы членов семьи и родственников;
- содержание трудового договора;
- содержание декларации, подаваемой в налоговую инспекцию;
- подлинники и копии приказов по личному составу;
- личные дела и трудовые книжки сотрудников;
- основания к приказам по личному составу;
- дела, содержащие материалы по повышению квалификации и переподготовке сотрудников, их аттестации, служебные расследования;
- копии отчетов, направляемых в органы статистики.
            Данные документы являются конфиденциальными без проставления соответствующего грифа ограничений на них. Режим конфиденциальности данных снимается в случаях обезличивания или по истечении срока хранения, если иное не определено законом.
  3.     ПРИНЦИПЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
              Обработка персональных данных представляет собой - действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование и уничтожение персональных данных.
            В целях обеспечения прав и свобод гражданина Работодатель и его представители при обработке персональных данных обязаны соблюдать следующие общие требования:
            Обработка персональных данных Работника может осуществляться исключительно в целях обеспечения соблюдения законов, иных нормативных правовых актов, содействия работникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества.
            При определении объема и содержания, обрабатываемых персональных данных работника Работодатель должен руководствоваться Конституцией Российской Федерации, Трудовым кодексом Российской Федерации и иными федеральными законами.
            Все персональные данные работника следует получать у него самого. Если персональные данные Работника возможно получить только у третьей стороны, то Работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие.
            Работодатель должен сообщить Работнику о целях, предполагаемых
            источниках и способах получения персональных данных и последствиях
            отказа Работника, дать письменное согласие на их получение.
3.2.5.      Работодатель не имеет права получать и обрабатывать персональные данные Работника о его политических, религиозных и иных убеждениях и частной жизни. В случаях, непосредственно связанных с вопросами трудовых отношений, в соответствии со статьей 24 Конституции Российской Федерации Работодатель вправе получать и обрабатывать данные о частной жизни Работника только с его письменного согласия.
3.2.6.      Работодатель не имеет права получать и обрабатывать персональные данные Работника о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных Федеральным законом.
3.2.7.      При принятии решений, затрагивающих интересы Работника, Работодатель не имеет права основываться на персональных данных Работника, полученных исключительно в результате их автоматизированной обработки или электронного получения.
3.2.8.      Защита персональных данных Работника от неправомерного использования или утраты должна быть обеспечена Работодателем за счет его средств в порядке, установленном Федеральным законом.
3.2.9.      Работники не должны отказываться от своих прав на сохранение и защиту тайны.
3.2.10. Работодатель, Работники и их представители должны совместно вырабатывать меры защиты персональных данных Работников.
  3.3.            При обработке персональных данных сотрудников Работодатель в лице
               Генерального директора вправе определять способы обработки, документирования
               и защиты персональных данных сотрудников на базе современных    
               информационных технологий.
  4.     ПРАВА И ОБЯЗАННОСТИ СОТРУДНИКОВ
  4.1.Сотрудник имеет право на:
- полную информацию о своих персональных данных и их обработке;
- свободный доступ к своим персональным данным, исключая право на получении копии любой записи, за исключением случаев, предусмотренных законодательством РФ;
- определение своих представителей для защиты своих персональных данных;
- доступ к личным медицинским данным с помощью медицинского представителя по своему выбору;
- требования об исключении или поправлении неверных или неполных данных, а также данных, обработанных с нарушением требований;
- при отказе Работодателя исключить или исправить персональные данные, сотрудник имеет право заявить в письменной форме Работодателю о своем несогласии, с соответствующим обоснованием;
- персональные данные оценочного характера сотрудник имеет право дополнить заявлением, выражающим его собственную точку зрения;
- требования об извещении Работодателем всех лиц, которым ранее были сообщены неверные или неполные персональные данные сотрудника, обо всех произведенных в них исключениях, исправлениях или дополнениях;
- обжалование в суде любых неправомерных действий или бездействия Работодателя при обработке и защите его персональных данных.
  4.2.Обязанности сотрудника:
- передавать Работодателю или его представителю комплекс достоверных документированных персональных данных, состав которых установлен Трудовым кодексом Российской Федерации;
- своевременно сообщать Работодателю об изменении своих персональных данных.
- в соответствии с ТК РФ сотрудник может быть уволен по статье 81 п.11 за предоставление заведомо работником подложных документов при заключении трудового договора.
  5.     ДОСТУП К ПЕРСОНАЛЬНЫМ ДАННЫМ
  4.3.Внешний доступ:
4.3.1.      К числу массовых потребителей персональных данных вне Работодателя относятся государственные и негосударственные функциональные структуры:
- налоговые инспекции;
- правоохранительные органы;
- органы статистики;
- страховые организации;
- военные комиссариаты;
- органы социального страхования;
- пенсионные фонды;
- подразделения государственных и муниципальных органов управления.
4.3.2.      Органы, осуществляющие надзорные и контрольные функции, имеют доступ к информации только в сфере своей компетенции.
4.3.3.      Персональные данные сотрудника могут быть представлены родственникам или членам его семьи только с письменного разрешения самого сотрудника. В случае расторжения брака бывшая супруга (супруг) имеют право обратиться в организацию с письменным запросом о размере заработной платы без его согласия.
  4.4.Внутренний доступ:
4.4.1.      К разряду потребителей персональных данных помимо директора, относятся сотрудники структурных подразделений, которым эти данные необходимы для выполнения должностных обязанностей:
- все сотрудники Управления образования по управлению персонала;
- сотрудники Контрольно-ревизионного отдела при осуществлении аудита;
- сотрудники, осуществляющие работу по мобилизации, гражданской обороне, чрезвычайным ситуациям;
- сотрудники, отвечающие за технику безопасности;
- руководители структурных подразделений;
- при переводе сотрудника из одного структурного подразделения в другое, доступ к персональным данным сотрудника может иметь руководитель нового подразделения.
4.4.2.      Другие сотрудники организации имеют доступ к персональным данным работника только с письменного согласия Директора МОБУ СОШ №30 посёлка Красного Лабинского района
  6.     ПОРЯДОК ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ РАБОТНИКОВ
  4.5.Получение персональных данных:
4.5.1.      Получение персональных данных Работника возможно двумя способами:
- добровольно предоставляются сотрудником непосредственно держателю этих данных и потребителям внутри Работодателя исключительно для обработки и использования в работе;
- от третьей стороны, в случае отсутствия возможности получения такой информации от ее собственника при условии его уведомления о цели, характере, предполагаемом источнике, способе и последствиях получения его персональных данных, а также наличии письменного согласия этого сотрудника.
4.5.2.      При заключении трудового договора с сотрудником, заполнении личной карточки формы Т-2, автобиографии и другой необходимой при приеме на работу документации используются следующие документы:
- паспорт или иной документ, удостоверяющий личность;
- трудовая книжка, за исключением случаев, когда Работник принимается на работу впервые или на условиях совместительства;
- страховое свидетельство государственного пенсионного страхования;
- документы воинского учета – для военнообязанных и лиц, подлежащих призыву на военную службу (военный билет);
- документы об образовании, о квалификации или наличии специальных знаний (диплом, свидетельство об аттестации или присвоении категории, документ об усовершенствовании или специализации, сертификат);
- документы о присвоении ученой степени, ученого звания;
- документы, утверждающие те или иные факты, касающиеся жизни сотрудника (например, свидетельство о заключении или расторжении брака, свидетельство о рождении ребенка);
- документы, подтверждающие наличие наград, присвоение званий и т.д.
- свидетельство о постановке на учет в налоговом органе;
- необходимые справки (например, справки о доходах по форме НДФЛ-2 с прежнего места работы).
6.1.3. Сотрудник отдела кадров, ответственный за документационное обеспечение кадровой деятельности, получает от принимаемого на работу сотрудника документы, проверяет полноту их заполнения и правильность указываемых сведений в соответствии с предъявляемыми документами, и вносит персональные данные работника в соответствующую кадровую документацию.
4.6. Хранение персональных данных работника.
4.6.1.      Личное дело сотрудника формируется после издания приказа о его приеме на работу.
Личное дело обязательно содержит:
- трудовой договор;
- дополнительные соглашения по изменениям к трудовому договору;
- должностную инструкцию;
- договор о материальной ответственности (с определенными сотрудниками);
- обязательство о неразглашении сведений, не относящихся к интеллектуальной собственности;
- приказ о приеме на работу, об изменении условий труда, переводе на другие должности и в другие подразделения, приказы об отпусках сотрудников и иные кадровые приказы, заявления сотрудника с необходимыми резолюциями уполномоченных лиц на принятие решений;
- копии документов (паспорт, документы об образовании, свидетельство о рождении детей)
- и другие заявления, расписки и копии документов.
4.6.2.      Личное дело может содержать персональные данные сотрудника, отражающие как процесс приема на работу, так и последующие изменения в трудовом договоре.
4.6.3.      Личное дело пополняется на протяжении всей трудовой деятельности сотрудника. Изменения, вносимые в форму Т-2, должны быть подтверждены соответствующими документами (копиями), которые хранятся в личном деле сотрудника.
4.6.4.      В отделе кадров, кроме личных дел работников, хранятся следующие документы, содержащие персональные данные работников:
- трудовые книжки работников, порядок их хранения определяется действующими законами другими нормативными правовыми актами РФ. В организации трудовые книжки хранятся в оборудованном сейфе.
- личные карточки формы Т-2 хранятся в металлических шкафах в алфавитном порядке;
- приказы о приеме, перемещениях, увольнении, а также другие приказы по личному составу – подлинники, хранятся в отделе кадров, в отдельных папках (делах), копии передаются в бухгалтерию для начисления заработной платы.
4.6.5.      В бухгалтерии хранятся следующие документы, содержащие персональные данные сотрудников:
- лицевые карточки на текущий год (размещаются в специально оборудованном шкафу, по истечении года передаются в архив)
- ведомости о начислении заработной платы и других выплат;
- справки о доходах работников с прежнего места работы.
4.6.6.      После прекращения трудового договора, а также по истечении срока хранения документов в отделе кадров и бухгалтерии, документы по личному составу передаются в архив.
4.7.Комбинирование – сочетание различных персональных данных Работника с целью проведения анализа, вывод каких-либо закономерностей, получение результатов и т.д., подготовки отчетности. Комбинированные персональные данные содержатся, прежде всего, в личной карточке формы Т-2.
4.8.При передаче персональных данных сотрудника Работодатель должен соблюдать следующие требования:
4.8.1.      Передача внешнему потребителю:
- передача персональных данных от держателя или его представителей внешнему потребителю может допускаться в минимальных объемах и только в целях выполнения задач, соответствующих объективной причине сбора этих данных;
- при передаче персональных данных сотрудника потребителям (в том числе и в коммерческих целях) за пределы Работодателя последний не должен сообщать эти данные третьей стороне без письменного согласия сотрудника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью сотрудника или в случаях, установленных федеральным законом;
- ответы на правомерные письменные запросы других организаций даются с разрешения директора по управлению персоналом компании и только в письменной форме и в том объеме, который позволяет не разглашать излишний объем персональных сведений;
- не допускается отвечать на вопросы, связанные с передачей персональной информации по телефону или факсу;
- сведения передаются в письменной форме с соблюдением режима конфиденциальности.
4.8.2.      Передача внутреннему потребителю:
- Работодатель вправе разрешать доступ к персональным данным сотрудников только специально уполномоченным лицам, перечисленным в п.5.2. гл. 5.
4.9.Актуализация – извлечение тех или иных сведений, относимых к персональным данным работников, для их дальнейшего использования, в том числе комбинирования, передачи, изменения, блокирования или уничтожения.
4.10. Использование персональных данных - действия (операции) с персональными данными, совершаемые Работодателем в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта персональных данных или других лиц либо иным образом затрагивающих права и свободы субъекта персональных данных или других лиц.
4.11. Блокирование персональных данных – временное прекращение операций по их обработке по требованию субъекта персональных данных при выявлении им недостоверности обрабатываемых сведений или неправомерных действий в отношении его данных.
4.12. Уничтожение персональных данных - действия, в результате которых невозможно восстановить содержание персональных данных в информационной системе персональных данных или в результате которых уничтожаются материальные носители персональных данных.
Уничтожение информации производится по требованию сотрудника – собственника персональных данных об их исключениях в случае:
- недостоверности информации;
- обработки информации с нарушением установленного порядка;
- получения информации, которая не может составлять персональные данные Работника (о политических, религиозных и иных убеждениях, частной жизни и т.д.)
Также информация может быть уничтожена по решению Работодателя в случае, когда отпадает необходимость в ней, а также после прекращения действия трудового договора с Работником, за исключением документов, остающихся на хранении в организации.
    7.     ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ
7.1.    Защита персональных данных представляет собой строго регламентированный технологический процесс, предупреждающий нарушение доступности, целостности, достоверности и конфиденциальности персональных данных и, в конечном счете, обеспечивающий безопасность информации в процессе   деятельности организации.
7.2.   Внутренняя защита.
      Для защиты персональных данных сотрудников необходимо соблюдать ряд мер:
- ограничение и регламентация состава сотрудников, функциональные обязанности которых требуют доступа к конфиденциальной информации;
- строгое избирательное обоснование распределения документов и информации между сотрудниками;
- рациональное размещение рабочих мест сотрудников, при котором исключалось бы бесконтрольное использование защищаемой информации;
- знание сотрудниками требований нормативно-методических документов по защите информации и сохранении тайны;
- порядок приема, учета и контроля персональных данных,
- требования к защите информации при интервьюировании и собеседованиях.
- наличие необходимых условий в помещении для работы с конфиденциальными документами и базами данных;
- организация порядка уничтожения информации;
- своевременное выявление нарушения требований разрешительной системы доступа сотрудниками подразделения;
- разъяснительная работа с сотрудниками организации по предупреждению утраты ценных сведений при работе с конфиденциальными документами;
- не допускается выдача личных дел сотрудников на рабочие места руководителей;
- персональные компьютеры, на которых содержатся персональные данные, должны быть защищены паролями доступа,
- иные необходимые организационные и технические меры, средств для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий.
7.3. Внешняя защита.
        Для защиты конфиденциальной информации создаются необходимые условия, препятствующие доступу посторонних лиц к сведениям, их использованию, подмены реквизитов. Под посторонним лицом понимается любое другое лицо, не имеющее непосредственного отношения к деятельности организации, посетители, сотрудники других организационных структур.
8.     ОТВЕТСТВЕННОСТЬ ЗА РАЗГЛАШЕНИЕ КОНФИДЕНЦИАЛЬНОЙ ИНФОРМАЦИИ, СВЯЗАННОЙ С ПЕРСОНАЛЬНЫМИ ДАННЫМИ
7.4.    Юридические и физические лица, в соответствии со своими полномочиями, владеющие информацией о гражданах, получающие и использующие ее, несут ответственность в соответствии с законодательством РФ за нарушение режима защиты и порядка обработки этой информации.
7.5.   Директор, разрешающий доступ сотрудника к конфиденциальному документу, несет персональную ответственность за данное разрешение.
7.6.   Каждый сотрудник организации, получающий для работы конфиденциальный документ, несет единоличную ответственность за сохранность носителя и конфиденциальность информации.
7.7.        Нарушение установленного законом и настоящим Положением порядка получения, хранения, использования или распространения информации о гражданах (персональных данных) влечет дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с федеральными законами.