Положение о защите персональных данных работников

Зачем нужен отдельный документ по работникам

Общая политика описывает работу с данными всех: клиентов, контрагентов, кандидатов. Но у данных работников своя специфика — они собираются по требованию Трудового кодекса, хранятся годами и включают сведения, которых нет больше нигде: состояние здоровья, состав семьи, размер зарплаты.

Поэтому на практике делают два документа: общую политику и положение о персональных данных работников. Закон не требует именно такого разделения, но так документ получается короче и понятнее кадровой службе.

Какие данные работников вы собираете на самом деле

Перед тем как писать документ, стоит выписать фактический состав. Обычно он шире, чем кажется.

• анкетные: фамилия, имя, отчество, дата рождения, ИИН, гражданство;
• адрес места жительства и контактные телефоны;
• образование, квалификация, сведения о предыдущей работе;
• состав семьи и сведения об иждивенцах — для вычетов и пособий;
• сведения о состоянии здоровья — в объёме, необходимом для допуска к работе;
• размер оплаты труда и банковские реквизиты;
• сведения о воинском учёте, если ведётся.

Проверьте, не собираете ли вы больше нужного. Обработка данных, избыточных по отношению к целям, прямо запрещена пунктом 9 статьи 7 Закона. Частый лишний пункт в анкетах — семейное положение и вероисповедание.

Разделы положения

• общие положения: для чего документ, на кого распространяется, какими нормами руководствуемся;
• состав обрабатываемых данных работника и цели по каждой группе;
• основания обработки: требование законодательства или согласие работника;
• порядок сбора: у кого, в каком объёме, что нельзя требовать;
• кто внутри компании имеет доступ и на каком основании;
• передача третьим лицам: банк, пенсионный фонд, бухгалтерский аутсорс, страховая;
• сроки хранения и порядок уничтожения после увольнения;
• права работника и порядок рассмотрения его обращений;
• меры защиты: где хранятся дела, кто отвечает за доступ, как передаются файлы;
• ответственность за разглашение.

Что нельзя требовать от работника

Запрещены сбор и обработка копий документов, удостоверяющих личность, на бумажном носителе, кроме случаев, прямо предусмотренных законами. Сверьте с этим свой перечень документов при приёме.

Также нельзя собирать данные из открытых источников для расширения своей базы: пункт 11 статьи 7 запрещает нецелевое извлечение данных из общедоступных источников. Это ограничивает практику «посмотреть кандидата в соцсетях и сохранить найденное в его карточку».

Что делать при увольнении

1. 1Определить, что хранится по законуКадровые документы имеют установленные сроки хранения — их уничтожать нельзя даже по требованию работника.
2. 2Уничтожить остальноеВсё, что собиралось сверх обязательного и достигло цели, уничтожается с составлением акта.
3. 3Закрыть доступыУбрать уволенного из перечня лиц, имеющих доступ к данным, и из всех систем.
4. 4Проверить копииСканы в общих папках, пересылки в мессенджерах, файлы на компьютере бывшего руководителя.

Осторожно с шаблонами из интернета

Большинство образцов по этому запросу написаны под российское законодательство: они ссылаются на Федеральный закон № 152-ФЗ и на Роскомнадзор. В Казахстане действует Закон № 94-V, свой уполномоченный орган и свой срок уведомления об утечке — один рабочий день. Такой документ не закрывает ваши обязанности и сразу показывает, что работа не велась.

Частые вопросы