Положение о работе с персональными данными работников

1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Положение о работе с персональными данными работников ООО ТД «СВЯЗЬСТРОЙДЕТАЛЬ» (далее – Предприятие) разработано в соответствии с Конституцией Российской Федерации, Трудовым кодексом Российской Федерации, Федеральным законом от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных» и другими нормативными правовыми актами Российской Федерации.

1.2. Настоящее Положение определяет порядок работы (получения, обработки, использования, хранения и т. д.) с персональными данными работников и гарантии конфиденциальности сведений о работнике.

1.3. Цель настоящего Положения – защита персональных данных работников Предприятия от несанкционированного доступа и разглашения, установление ответственности должностных лиц, имеющих доступ к персональным данным работников Предприятия, за невыполнение требований норм, регулирующих обработку и защиту персональных данных.

1.4. Настоящее Положение и все дополнения и изменения к нему утверждаются Генеральным директором Предприятия.

1.5. Все работники организации должны быть ознакомлены с настоящим Положением, а также со всеми дополнениями и изменениями к нему под роспись. При приеме на работу ознакомление производится до подписания трудового договора.

1.6. Исполнение настоящего Положения (защита персональных данных работника от неправомерного их использования или утраты) обеспечивается за счет средств Предприятия в порядке, установленном Трудовым кодексом Российской Федерации и иными федеральными законами.

1.7. Вопросы, не урегулированные настоящим Положением, решаются в соответствии с Трудовым кодексом Российской Федерации, Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных» и другими нормативными правовыми актами Российской Федерации.

2. ОСНОВНЫЕ ПОНЯТИЯ И СОСТАВ ПЕРСОНАЛЬНЫХ ДАННЫХ РАБОТНИКОВ

2.1. Для целей настоящего Положения используются следующие основные понятия:

обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение;
автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники;
распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
конфиденциальность персональных данных – обязательное для соблюдения лицом, получившим доступ к персональным данным работников, требование не допускать их распространения без согласия работника или иного законного основания, за исключением обезличенных и общедоступных персональных данных.
документальная информация – зафиксированная на материальном носителе путем документирования информация с реквизитами, позволяющими определить такую информацию или ее материальный носитель.

2.2. Персональными данными работника является любая информация, относящаяся к определенному или определяемому на основании такой информации работнику (субъекту персональных данных). В том числе к персональным данным относятся:

анкета;
автобиография;
сведения об образовании;
сведения о трудовом и общем стаже;
сведения о предыдущем месте работы;
сведения о семейном положении и составе семьи;
паспортные данные;
сведения о воинском учете;
сведения о заработной плате;
сведения об имущественном положении;
сведения о социальных льготах;
специальность;
занимаемая должность;
наличие судимостей;
адрес места жительства;
контактные телефоны;
содержание трудового договора;
содержание декларации, подаваемой в налоговую инспекцию;
подлинники и копии приказов по личному составу;
личные дела и трудовые книжки сотрудников;
основания к приказам по личному составу;
справочно-информационный банк данных по персоналу (картотеки, журналы);
дела, содержащие материалы по повышению квалификации и переподготовке работников, их аттестации, служебным расследованиям;
копии отчетов, направляемые в органы статистики;
результаты медицинского обследования на предмет годности к осуществлению трудовых обязанностей;
фотографии;
рекомендации, характеристики;
принадлежность лица к конкретной нации, этнической группе, расе;
привычки и увлечения, в том числе вредные (алкоголь, наркотики и др.);
религиозные и политические убеждения (принадлежность к религиозной конфессии, членство в политической партии, участие в общественных объединениях, в т.ч. в профсоюзе, и др.);
деловые и иные личные качества, которые носят оценочный характер;
прочие сведения, которые могут идентифицировать человека.

2.2.1. Персональные данные, разрешенные субъектом персональных данных для распространения, - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном Федеральным законом.

2.3. Из указанного в п. 2.2. настоящего Положения списка работодатель вправе получать и использовать только те сведения, которые характеризуют гражданина как сторону трудового договора и необходимы в целях выполнения требований:

трудового законодательства при приеме на работу и заключении трудового договора, в процессе трудовых отношений, при предоставлении гарантий и компенсаций и др.;
налогового законодательства в связи с исчислением и уплатой налога на доходы физических лиц, а также взносов во внебюджетные фонды;
пенсионного законодательства при формировании и представлении персонифицированных данных о каждом получателе доходов, учитываемых при начислении страховых взносов на обязательное пенсионное страхование и обеспечение;
заполнения статистической документации;
в иных установленных законодательством случаях.

2.3. Доступ к персональным данным работника, которые необходимы для выполнения конкретных функций в пределах компетенции имеют: Генеральный директор Предприятия, руководитель структурного подразделения, которому подчиняется работник, работники службы управления персоналом и бухгалтерии (далее – уполномоченные должностные лица). Доступ специалистов других структурных подразделений к персональным данным работников осуществляется исключительно в служебных целях на основании письменного распоряжения Генерального директора.

2.4. Доступ к своим персональным данным имеет также сам работник и с его согласия члены семьи работника. В случае развода бывшая супруга (супруг) имеет право обратиться на Предприятие с письменным запросом о размере заработной платы работника без его согласия.

3. ПОЛУЧЕНИЕ, ОБРАБОТКА И ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1. В целях обеспечения прав и свобод человека и гражданина работодатель и его представители при обработке персональных данных работника обязаны соблюдать следующие общие требования:

3.1.1. Обработка персональных данных работника может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, получении образования и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества.

3.1.2. При определении объема и содержания обрабатываемых персональных данных работника работодатель должен руководствоваться Конституцией РФ, ТК РФ и иными федеральными законами;

3.1.3. Все персональные данные работника следует получать у него самого. Если персональные данные работника возможно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. При получении персональных данных не от работника (за исключением случаев, если персональные данные являются общедоступными) работодатель до начала обработки таких персональных данных обязан предоставить работнику следующую информацию:

наименование (фамилия, имя, отчество) и адрес оператора или его представителя;
цель обработки персональных данных и ее правовое основание;
предполагаемые источники и способы получения персональных данных;
характер подлежащих получению персональных данных;
предполагаемые пользователи персональных данных;
установленные федеральными законами права субъекта персональных данных;
последствия отказа работника дать письменное согласие на их получение..

3.1.4. Работник представляет уполномоченному должностному лицу достоверные сведения о себе. Уполномоченное должностное лицо проверяет достоверность сведений, сверяя данные, представленные работником, с имеющимися у работника документами. Представление работником подложных документов или ложных сведений при поступлении на работу является основанием для расторжения трудового договора. При изменении персональных данных работник письменно уведомляет СУП о таких изменениях не позднее 14 календарных дней.

3.1.5. Работодатель не имеет права получать и обрабатывать специальные категории персональных данных, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни работника за исключением случаев, предусмотренных законодательством.

3.1.6. Работодатель не имеет права получать и обрабатывать персональные данные работника о его членстве в общественных объединениях или его профсоюзной

деятельности, за исключением случаев, предусмотренных ТК РФ или иными федеральными законами.

3.1.7. При принятии решений, затрагивающих интересы работника, работодатель не имеет права основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного получения.

3.1.8. Работники не должны отказываться от своих прав на сохранение и защиту тайны. Во всех случаях такой отказ работника недействителен.

3.2. В случаях, непосредственно связанных с вопросами трудовых отношений, уполномоченные должностные лица вправе получать и обрабатывать данные о частной жизни работника только с его письменного согласия. Обработка указанных персональных данных работником Предприятием возможна без их согласия только в следующих случаях:

персональные данные являются общедоступными;
персональные данные относятся к состоянию здоровья работника и их обработка необходима для защиты его жизни, здоровья или иных жизненно важных интересов либо жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия работника невозможно;
по требованию полномочных государственных органов в случаях, предусмотренных федеральными законами.

3.3. Письменное согласие работника на обработку своих персональных данных должно включать в себя:

фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных);
наименование (фамилию, имя, отчество) и адрес оператора, получающего согласие субъекта персональных данных;
цель обработки персональных данных;
перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;
перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;
срок, в течение которого действует согласие, а также порядок его отзыва;
подпись субъекта персональных данных.

3.4. Согласие работника на обработку его персональных данных может быть выражено путем подписания им трудового договора с работодателем или дополнительного соглашения к нему, содержащего условие о возможности передачи персональных данных работника третьим лицам для целей, обусловленных необходимостью выполнения указанным работником возложенной на него трудовой функции (указание персональных данных в доверенностях на право представления интересов Предприятия, передача персональных данных для оформления пропусков на территорию организации-контрагента и т.п.).

3.5. Обработка персональных данных осуществляется в порядке, установленном Положением об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации (утв. постановлением Правительства РФ от 15.09.2008 № 687), а также Требованиями к защите персональных данных при их обработке в информационных системах персональных данных (утв. постановлением Правительства РФ от 01.11.2012 № 1119).

4. ПЕРЕДАЧА, ХРАНЕНИЕ И ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ РАБОТНИКОВ

4.1. Персональные данные вне Предприятия могут представляться в государственные и негосударственные структуры:

налоговые инспекции;
правоохранительные органы;
органы статистики;
военкоматы;
иные органы государственной власти и местного самоуправления;
органы социального страхования;
пенсионные фонды;
другие организации (на основании письменного запроса на бланке организации и с согласия работника).

4.2. При передаче персональных данных работника уполномоченные должностные лица должны соблюдать следующие требования:

4.2.1. Не предоставлять персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в случаях, установленных федеральным законом. Не сообщать персональные данные работника в коммерческих целях без его письменного согласия.

4.2.2. Предупредить лиц, получивших персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получившие персональные данные работника, обязаны соблюдать режим секретности (конфиденциальности). Данное Положение не распространяется на обмен персональными данными работников в порядке, установленном Трудовым кодексом Российской Федерации и федеральными законами.

4.2.3. Осуществлять передачу персональных данных работников в пределах Предприятия в соответствии с настоящим Положением.

4.2.4. Разрешать доступ к персональным данным работников только специально уполномоченным лицам, государственным органам в порядке, установленном федеральными законами. При этом указанные лица должны иметь право получать только те персональные данные работника, которые необходимы для выполнения конкретной функции.

4.2.5. В случае если лицо, обратившееся с запросом, не уполномочено федеральным законом на получение персональных данных работника либо отсутствует письменное согласие работника на предоставление его персональных сведений, уполномоченное должностное лицо обязано отказать в предоставлении персональных данных. Лицу, обратившемуся с запросом, выдается письменное уведомление об отказе в предоставлении персональных данных. Копия уведомления подшивается в личное дело работника.

4.2.6. Не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции.

4.2.7. Персональные данные работника могут быть переданы представителям работника в порядке, установленном ТК РФ, в том объеме, в каком это необходимо для выполнения указанным представителем их функций.

4.2.8. Уполномоченное должностное лицо обеспечивает ведение журнала учета передачи информации, содержащей персональные данные работников, в котором регистрируются запросы, фиксируются сведения о лице, направившем запрос, дата передачи персональных данных или дата уведомления об отказе в предоставлении персональных данных, а также отмечается, какая именно информация была передана.

4.2.9. Персональные данные работников обрабатываются и хранятся в службе управления персоналом. Личные дела и личные карточки работника (унифицированная форма № Т-2) хранятся в бумажном виде. Личные дела и личные карточки хранятся в запирающихся шкафах и ящиках столов, защищенных от несанкционированного доступа. Трудовые книжки работников, вкладыши в них, журналы учета, бланки строгой отчетности хранятся в сейфах. Другие документы на бумажных носителях, содержащие персональные данные работников, хранятся в местах, защищенных от несанкционированного доступа. Персональные данные работников могут храниться в электронном виде в локальной компьютерной сети, в программе «1С». Персональные данные на электронных носителях должны быть защищены паролем доступа, доступ к специализированной программе осуществляется только через личный доступ - пароль.

4.2.10. Копировать и делать выписки из документов, содержащих персональные данные работника, разрешается уполномоченным должностным лицам исключительно в служебных целях.

4.2.11. К информации, содержащей персональные данные работника, применяется режим конфиденциальности. Режим конфиденциальности персональных данных снимается в случаях их обезличивания и по истечении срока их хранения, составляющего 50 лет.

5. ПРАВА РАБОТНИКОВ

5.1. Работнику предоставляется полная информация о его персональных данных и обработке этих данных. В том числе работник вправе получать от работодателя:

сведения о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ;
перечень обрабатываемых персональных данных и источник их получения;
сроки обработки персональных данных, в том числе сроки их хранения;
сведения о том, какие юридические последствия для субъекта персональных данных может повлечь за собой обработка его персональных данных.

5.2. Работник имеет право получать доступ к своим персональным данным и ознакомление с ними, включая право на безвозмездное получение на основании письменного заявления копии любой записи, содержащей его персональные данные.

5.3. Работник имеет право определять своих представителей для защиты собственных персональных данных.

5.4. Работник имеет право на доступ медицинской документации, отражающей состояние его здоровья, с помощью медицинского работника по его выбору.

5.5. Работник вправе требовать исключить или исправить неверные или неполные персональные данные, а также данные, обработанные с нарушением требований Трудового кодекса Российской Федерации или иного федерального закона. Персональные данные оценочного характера работник вправе дополнить заявлением, выражающим его собственную точку зрения.

5.6. Работник вправе требовать от уполномоченных должностных лиц извещения всех адресатов, которым ранее были сообщены неверные или неполные персональные данные работника, обо всех произведенных в них исключениях, исправлениях или дополнениях. Уполномоченные должностные лица организации в срок – 5 рабочих дней обязаны это сделать.

5.7. Работник имеет право обжаловать в соответствующие инстанции любые неправомерные действия или бездействие уполномоченных должностных лиц при обработке и защите его персональных данных.

6. ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЕ НОРМ, РЕГУЛИРУЮЩИХ ОБРАБОТКУ И ЗАЩИТУ ПЕРСОНАЛЬНЫХ ДАННЫХ РАБОТНИКА

6.1. Работники Предприятия, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных работника, несут дисциплинарную, материальную, гражданско-правовую, административную и уголовную ответственность в соответствии с федеральными законами.

6.2. Если права и законные интересы работника были нарушены в связи с разглашением информации, содержащей его персональные данные, или иным неправомерным использованием такой информации, он вправе обратиться в установленном порядке за защитой своих прав, в том числе с исками о возмещении убытков, компенсации морального вреда, защите чести, достоинства и деловой репутации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных работником убытков.