Новая должность служащего «Специалист по внутреннему контролю за обработкой персональных данных»
Материал подготовлен с использованием правовых актов по состоянию на 25 января 2023 г.
Приводится обзор квалификационной характеристики по новой должности служащего «Специалист по внутреннему контролю за обработкой персональных данных». Даются рекомендации кадровых действий в связи с введением новой должности служащего.
ПРАВОВОЕ РЕГУЛИРОВАНИЕ
● Трудовой кодекс (далее – ТК)
● Закон от 07.05.2021 № 99-З «О защите персональных данных» (далее – Закон № 99-З)
● постановление Минтруда и соцзащиты от 31.10.2022 № 62 «Об изменении постановлений Министерства труда Республики Беларусь от 30 декабря 1999 г. № 159 и Министерства труда и социальной защиты Республики Беларусь от 2 января 2012 г. № 1» (далее – Постановление № 62)
● Общие положения Единого квалификационного справочника должностей служащих, утв. постановлением Минтруда и соцзащиты от 02.01.2012 № 1 (далее – Общие положения ЕКСД)
● выпуск 1 Единого квалификационного справочника должностей служащих (ЕКСД), утв. постановлением Минтруда от 30.12.1999 № 159 (далее – Выпуск 1 ЕКСД)
Общие положения
С 19.01.2023 Постановлением № 62 в Выпуск 1 ЕКСД была включена новая должность служащего «Специалист по внутреннему контролю за обработкой персональных данных».
Справочно
Следует отметить, что еще 11.05.2022 Национальный центр защиты персональных данных (далее – НЦЗПД) в разделе «Портфель оператора разместил образец должностной инструкции специалисту по внутреннему контролю (это наименование документа, в самом документе наименование должности – «Специалист по осуществлению внутреннего контроля за обработкой персональных данных»).
Напомним, что согласно п. 3 ст. 17 Закона № 99-З одной из обязательных мер по обеспечению защиты персональных данных является назначение оператором (уполномоченным лицом), являющимся госорганом, юрлицом Республики Беларусь, иной организацией, структурного подразделения или лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных.
Напрямую в законодательстве не указано, каким образом это мера реализуется (т.е. только в рамках трудовых отношений или такую меру можно передать на аутсорсинг (как охрану труда, ведение бухгалтерского учета и т.п.)).
НЦЗПД в ответе на вопрос о том, какие есть варианты назначения лица, ответственного за внутренний контроль, указывает, что назначение лица, ответственного за осуществление внутреннего контроля, может быть реализовано следующим образом:
● возложение на освобожденного работника (структурное подразделение) целесообразно в случае масштабной обработки персональных данных (особенно, если цель организации – извлечение прибыли);
● возложение дополнительных функций на одного из работников организации. При этом для такого лица обработка персональных данных не должна быть основным видом деятельности, что призвано исключить потенциальный конфликт интересов. В связи с этим следует исключить назначение ответственного за осуществление внутреннего контроля из числа руководителей организации (их заместителей), а также структурных подразделений или работников, основные функции которых связаны с обработкой большого объема персональных данных (например, кадровые и бухгалтерские службы, структурные подразделения по обращениям граждан и т.п.). Кроме того, у назначенного работника должна быть объективная возможность выполнять соответствующие функции с учетом уже имеющихся должностных обязанностей;
● возложение дополнительных функций на 2 работников: на одного (например, юрисконсульт) – в части организационных и правовых мер, на другого (например, специалист по информационной безопасности) – в части мер по технической и криптографической защите персональных данных. При таком варианте требуется четкое распределение функций между указанными лицами, исключение противоречий в их деятельности. При этом, как и в предыдущем варианте, у назначенного работника должна быть объективная возможность выполнять соответствующие функции с учетом уже имеющихся должностных обязанностей.
Представляется нецелесообразным возложение соответствующих функций исключительно на ответственного за обеспечение защиты информации или инженера (программиста, системного администратора, специалиста по информационной безопасности и т.п.).
Не соответствует цели введения рассматриваемого института практика тех организаций, в которых лица, ответственные за осуществление внутреннего контроля за обработкой персональных данных, назначаются в каждом структурном подразделении. Это приводит к сложностям при их взаимодействии, конкуренции, возможности появления различных подходов по реализации законодательства о персональных данных в различных подразделениях. Кроме того, это может приводить к конфликту интересов, а также потребовать дополнительных временных и финансовых затрат на обучение таких лиц (например, на базе НЦЗПД).
Таким образом, НЦЗПД полагает, что лицо, ответственное за осуществление внутреннего контроля за обработкой персональных данных, – это всегда штатный работник, т.е. лицо, состоящее с оператором (уполномоченным лицом) в трудовых отношениях на основании трудового договора (ст. 1 ТК).
Обзор нововведений
На сайте НЦЗПД в рубрике «Ответы на часто задаваемые вопросы» размещена группа вопросов по теме «Осуществление внутреннего контроля за обработкой персональных данных».
Так, на вопрос о том, каковы функции лица, ответственного за осуществление внутреннего контроля (т.е., по сути, краткое содержание должностных обязанностей такого лица), НЦЗПД отвечает, что к основным функциям лица, ответственного за осуществление внутреннего контроля, могут, в частности, относиться следующие:
● осуществление (участие в осуществлении) внутреннего контроля за обработкой персональных данных (в этих целях целесообразно иметь в организации положение о порядке проведения внутреннего контроля);
● консультирование руководителя и работников по вопросам применения законодательства о персональных данных;
● участие в разработке (поддержании в актуальном состоянии) документов, определяющих политику организации в отношении обработки персональных данных;
● ведение (координация ведения) реестра обработки персональных данных;
● участие в обучении работников организации и иных лиц, непосредственно осуществляющих обработку персональных данных по вопросам защиты персональных данных (в т.ч. разработка тестов, иных заданий, их проверка и т.п.);
● участие в рассмотрении заявлений субъектов персональных данных;
● взаимодействие с уполномоченным органом по защите прав субъектов персональных данных – НЦЗПД.
Представляет интерес для рассматриваемой ситуации также ответ НЦЗПД на вопрос о том, требуется ли от нанимателя какие-то дополнительные усилия для обеспечения деятельности лица, ответственного за осуществление внутреннего контроля. По данному вопросу НЦЗПД отвечает, что в целях надлежащего выполнения организацией возложенных на нее Законом № 99-З обязанностей рекомендуется обеспечить независимость лица, ответственного за осуществление внутреннего контроля, посредством:
● предоставления доступа к документам и информации, в т.ч. обрабатываемой в информационных системах (ресурсах) в объеме, необходимом для выполнения возложенных на него обязанностей;
● организации непосредственной подчиненности руководителю организации или его заместителю.
То есть, по мнению НЦЗПД, целесообразно обеспечить независимость лица, ответственного за внутренний контроль, в т.ч. при помощи непосредственной подчиненности руководителю организации или его заместителю (это желательно отразить в должностной инструкции, а также при выборе лица, на которого наниматель планирует возложить такие обязанности).
Сравнение образца должностной инструкции от НЦЗПД с новой квалификационной характеристикой, включенной в Выпуск 1 ЕКСД
|
Выпуск 1 ЕКСД |
Образец должностной инструкции от НЦЗПД |
|
|
Наименование должности служащего |
||
|
Специалист |
Специалист по внутреннему контролю за обработкой персональных данных |
Специалист по осуществлению внутреннего контроля за обработкой персональных данных |
|
Базовое наименование, свой код (ОКЗ) |
Производное наименование, базовым наименованием было «Специалист», сейчас новая должность |
|
|
Квалификационные требования |
||
|
Высшее профессиональное (по профилю выполняемой работы) или среднее специальное (профессиональное) образование без предъявления требований к стажу работы |
Высшее образование без предъявления требований к стажу работы |
Высшее образование и стаж работы не менее 2 лет |
|
Примечание. НЦЗПД на вопрос о том, есть ли квалификационные требования к образованию или стажу работы для назначения на должность лица, ответственного за осуществление внутреннего контроля, до внесения дополнений в Выпуск 1 ЕКСД отвечал, что конкретные квалификационные требования к работникам, на которых возлагаются функции ответственного за осуществление внутреннего контроля, Законом № 99-З не определены. Однако с учетом возлагаемых на данных лиц функций такое лицо должно назначаться c учетом знания законодательства о персональных данных (что, как правило, предполагает наличие юридического образования) и практики его применения, а также способности выполнять функции, возложенные на данное лицо. |
||
|
II квалификационной категории |
||
|
Высшее профессиональное (по профилю выполняемой работы) образование и стаж работы в должности специалиста без категории не менее 3 лет |
Высшее образование и стаж работы в должности служащего «Специалист по внутреннему контролю за обработкой персональных данных» не менее 2 лет. |
|
|
I квалификационной категории |
||
|
Высшее профессиональное (по профилю выполняемой работы) образование и стаж работы в должности специалиста II квалификационной категории не менее 3 лет |
Высшее образование и стаж работы в должности служащего «Специалист по внутреннему контролю за обработкой персональных данных» с II квалификационной категорией не менее 3 лет |
|
|
Должен знать |
||
|
|
● НПА, методические материалы по вопросам, связанным с обработкой персональных данных, общие требования к обработке персональных данных, правовые основания обработки персональных данных; ● порядок работы с заявлениями и жалобами субъектов персональных данных; ● правовые и организационные меры по обеспечению защиты персональных данных; ● основы технической и криптографической защиты информации в информационных системах, ● современные средства коммуникации и связи, компьютерной техники; ● основы законодательства о труде; ● требования по охране труда; ● требования по обеспечению пожарной безопасности |
● законодательство о персональных данных; ● НПА и ЛПА, регламентирующие деятельность организации по вопросам, связанным с исполнением должностных обязанностей; ● структуру, цели деятельности, основные задачи и направления развития организации; ● правовые и организационные меры по обеспечению защиты персональных данных, ● основы технической и криптографической защиты информации в информационных системах; ● современные средства коммуникации и связи, компьютерное оборудование, правила их эксплуатации; ● основы законодательства о труде; ● правила и нормы охраны труда и пожарной безопасности |
|
Должностные обязанности |
||
|
Определены в Выпуске 1 ЕКСД |
Выполняет организационные, консультативные, контрольные, информационно-образовательные и иные функции, связанные с обеспечением комплексной работы по соблюдению законодательства о персональных данных. Изучает и анализирует процессы обработки персональных данных, определяет риски, связанные с процессами обработки персональных данных, и предлагает меры по их минимизации. Вырабатывает и предлагает к реализации правовые и организационные меры по обеспечению защиты персональных данных, в том числе разрабатывает и поддерживает в актуальном состоянии документы, определяющие политику оператора (уполномоченного лица) в отношении обработки персональных данных, порядок доступа к персональным данным, иные документы (формы) по вопросам обработки персональных данных.
Разрабатывает документы в сфере обработки персональных данных, координирует их ведение и поддержание в актуальном состоянии, оценивает полноту и корректность внесения в них информации.
Принимает участие в определении и осуществлении мер технической и криптографической защиты персональных данных.
Осуществляет контроль за своевременным внесением работниками изменений в персональные данные, которые являются неполными, устаревшими или неточными, прекращением обработки персональных данных, а также осуществлением их удаления или блокирования при отсутствии оснований для обработки персональных данных, предусмотренных законодательными актами.
Проводит проверки по соблюдению требований законодательства о персональных данных в структурных подразделениях организации для выявления нарушений и предупреждения их возникновения. Изучает нарушения работниками требований к обработке персональных данных, вносит предложения по привлечению виновных к ответственности.
Консультирует работников и уполномоченных лиц по вопросам обработки и защиты персональных данных.
Согласовывает ЛПА, договоры на предмет их соответствия законодательству о персональных данных. Ознакамливает работников с законодательством о персональных данных, в том числе с требованиями по защите персональных данных, документами, определяющими политику оператора в отношении обработки персональных данных.
Организует прохождение обучения работников, осуществляющих обработку персональных данных, по вопросам обработки и защиты персональных данных в порядке, установленном законодательством. Предлагает оптимальные формы обучения работников, исходя из их трудовых функций.
Рассматривает (участвует в рассмотрении) заявлений и жалоб субъектов персональных данных по вопросам обработки персональных данных, принимает необходимые меры по восстановлению их нарушенных прав. Обеспечивает взаимодействие с уполномоченным органом по защите прав субъектов персональных данных, в том числе по вопросам уведомления о нарушениях систем защиты персональных данных, исполнения требований уполномоченного органа по защите прав субъектов персональных данных об устранении нарушений законодательства о персональных данных. |
Изучает и анализирует процессы обработки персональных данных в организации, определяет риски, связанные с процессами обработки персональных данных, и предлагает меры по их минимизации. Вырабатывает и предлагает к реализации в организации правовые и организационные меры по обеспечению защиты персональных данных с учетом требований Закона № 99-З и иных актов законодательства, в том числе разрабатывает и поддерживает в актуальном состоянии: ● документы, определяющие политику организации в отношении обработки персональных данных; ● ЛПА, определяющие порядок доступа к персональным данным, включая обрабатываемые посредством автоматизированных систем; ● иные документы (формы) по вопросам обработки персональных данных; ● форму реестра обработки персональных данных, координирует его ведение и поддержание в актуальном состоянии, оценивает полноту и корректность внесения в него информации; Принимает участие в определении мер технической и криптографической защиты персональных данных и взаимодействует с администратором системным по вопросам их осуществления; Осуществляет контроль за соблюдением в организации требований законодательства и локальных правовых актов о персональных данных, в том числе: ● за своевременным внесением работниками организации изменений в персональные данные, которые являются неполными, устаревшими или неточными, за исключением случаев, когда иной порядок внесения изменений в персональные данные не установлен законодательными актами либо если цели обработки персональных данных не предполагают последующих изменений таких данных; ● за своевременным прекращением обработки персональных данных, а также осуществлением их удаления или блокирования при отсутствии оснований для обработки персональных данных, предусмотренных законодательными актами; ● проводит проверки по соблюдению требований законодательства о персональных данных в структурных подразделениях организации для выявления нарушений и предупреждения их возникновения; ● проводит расследования по нарушениям работниками организации требований обработки персональных данных, вносит директору организации предложения по привлечению виновных к ответственности; ● уведомляет директора организации (лицо, исполняющее его обязанности) о нарушениях защиты персональных данных, требующих оперативного принятия мер; Консультирует руководителей, иных работников организации и уполномоченных лиц по вопросам обработки и защиты персональных данных в организации. Согласовывает ЛПА, договоры организации на предмет их соответствия законодательству о персональных данных. Ознакамливает работников организации (при необходимости – иных лиц, непосредственно осуществляющих обработку персональных данных), с положениями законодательства о персональных данных, в том числе с требованиями по защите персональных данных, документами, определяющими политику организации в отношении обработки персональных данных. Организует прохождение обучения работников организации по вопросам обработки и защиты персональных данных в порядке, установленном законодательством.
Предлагает оптимальные формы обучения, исходя из функций работников, осуществляющих обработку персональные данных. Рассматривает заявления субъектов персональных данных по вопросам обработки персональных данных в организации, предоставляет по их заявлению информацию об их персональных данных, а также о предоставлении их персональных данных третьим лицам, за исключением случаев, предусмотренных Законом № 99-З и иными законодательными актами. Рассматривает жалобы субъектов персональных данных по вопросам обработки персональных данных в организации, принимает в соответствии с законодательством необходимые меры по восстановлению нарушенных прав субъектов персональных данных. Обеспечивает взаимодействие с уполномоченным органом по защите прав субъектов персональных данных, в том числе: ● уведомляет уполномоченный орган по защите прав субъектов персональных данных о нарушениях систем защиты персональных данных; ● осуществляет изменение, блокирование или удаление недостоверных или полученных незаконным путем персональных данных субъекта персональных данных по требованию уполномоченного органа по защите прав субъектов персональных данных, если иной порядок внесения изменений в персональные данные, их блокирования или удаления не установлен законодательными актами; ● исполняет иные требования уполномоченного органа по защите прав субъектов персональных данных об устранении нарушений законодательства о персональных данных. Готовит отчеты в пределах компетенции. Непрерывно повышает свой профессионально-квалификационный уровень. Обеспечивает сохранность документов, образующихся в деятельности ведущего специалиста по осуществлению внутреннего контроля за обработкой персональных данных, оформление и передачу их в архив. Сотрудничает с нанимателем в деле обеспечения здоровых и безопасных условий труда. Принимает необходимые меры по ограничению развития аварийной ситуации и ее ликвидации, оказывает первую помощь пострадавшему, принимает меры по вызову скорой помощи, аварийных служб, пожарной охраны. Выполняет требования по охране труда и пожарной безопасности, соблюдает правила внутреннего трудового распорядка. Принимает участие в заключении коллективного договора, разработке и осуществлении мероприятий по укреплению трудовой дисциплины. Соблюдает правила организации делопроизводства. Выполняет иные обязанности в соответствии с локальными правовыми актами, поручениями (указаниями) директора организации (лица, исполняющего его обязанности) |
Таким образом, фактически новая квалификационная характеристика не внесла ничего принципиального нового в квалификационные требования и должностные обязанности специалиста по внутреннему контролю за обработкой персональных данных.
Кадровые действия в связи с введением новой должности
Можно выделить несколько ситуаций и вариантов кадровых действий:
1. В организации есть структурное подразделение по защите персональных данных.
В этом случае фактические изменения могут быть, если в штате есть специалисты по защите персональных данных.
2. В организации есть штатная единица специалиста по защите персональных данных:
2.1. наименование должности основано на ином базовом наименовании, нежели «Специалист»;
2.2. наименование должности основано на базовом наименовании должности «Специалист».
Поскольку с 19.01.2023 (после вступления в силу Постановления № 62) появилась новая должность служащего, то уже нет правовых оснований с учетом п. 7 Общих положений ЕКСД, использовать, как и ранее, в качестве базового наименование «Специалист».
Справочно
Согласно п. 7 Общих положений ЕКСД базовое наименование должности служащего «Специалист» применяется только в тех случаях, когда работнику для выполнения должностных обязанностей необходимы знания, полученные в объеме высшего или среднего специального образования, а содержание его должностных обязанностей не предусмотрено должностными обязанностями квалификационных характеристик других должностей специалистов, содержащихся в выпусках ЕКСД.
В данном случае возникает вопрос, что имеет место:
● перевод согласно ст. 30 ТК в связи с изменением трудовой функции работника;
● приведение трудовых отношений, в т.ч. при необходимости наименования должности специалиста, в соответствие с законодательством о труде, в данном случае – в соответствие с п. 7 Общих положений ЕКСД и Выпуском 1 ЕКСД.
Справочно
Согласно ч. 4 ст. 19 ТК в случае изменения законодательства о труде условия трудового договора должны быть приведены в соответствие с законодательством о труде.
Перевод и приведение в соответствие с законодательством о труде – кардинально разные кадровые действия.
Так, перевод может быть только с письменного согласия работника (ч. 2 ст. 30 ТК), вариант, по которому не требуется согласие работника, – это увольнение по сокращению (п. 1 ст. 42 ТК). Однако, полагаем, что в данном случае это не соответствует фактическим обстоятельствам и правовой природе изменений. Потребность нанимателя в специалисте по внутреннему контролю никак не исчезает в силу сохранения требований п. 3 ст. 17 Закона № 99-З (т.е. нет оснований для сокращения).
В данном случае нанимателю следует привести трудовые отношения в соответствие с законодательством о труде согласно ч. 4 ст. 19 ТК, в т.ч. для выполнения требований п. 7 Общих положений ЕКСД и Постановления № 62.
Так, при необходимости вносятся изменения в должностную инструкцию согласно п. 15 ч. 1 ст. 55 ТК, приводится наименование должности служащего согласно Выпуску 1 ЕКСД (при этом можно использовать предписания п. 4 Общих положений ЕКСД и сформировать полное наименование должности служащего).
Примечание
Следует обратить внимание на возможное в будущем изменение кода должности служащего. В настоящее время в Общегосударственном классификаторе Республики Беларусь «Занятия» ОКРБ 014-2017, утв. постановлением Минтруда и соцзащиты от 24.07.2017 № 33, по новой должности нет отдельного кода должности, но, полагаем, что он со временем должен появиться, что повлечет за собой отражение таких сведений в форме ПУ-2.
Подача формы ПУ-2 может понадобиться и при изменении наименования должности служащего.
3. Возложение обязанностей по внутреннему контролю за обработкой персональных данных при отсутствии в штате отдельной единицы специалиста по защите персональных данных.
Возложение обязанностей по внутреннему контролю за обработкой персональных данных при отсутствии в штате отдельной единицы специалиста по защите персональных данных также может измениться.
Так, согласно п. 10 Общих положений ЕКСД по решению нанимателя трудовая функция (должностные обязанности) служащего может предусматривать выполнение обязанностей, содержащихся в квалификационных характеристиках других должностей служащих, близких по содержанию работ, равных по сложности и не требующих изменения квалификации служащего.
До 19.01.2023 ЕКСД не содержал обязанностей по внутреннему контролю за обработкой персональных данных. В такой ситуации применялись правила ст. 20 и 32 ТК, т.е. если изначально условия трудового договора не содержали обязанности работника по внутреннему контролю за обработкой персональных данных, то наниматель их мог возложить на работника либо с его согласия (ч. 4 ст. 19 ТК), либо в порядке изменения существенных условий труда (ст. 32 ТК).
С 19.01.2023 ситуация значительно изменилась, и, возможно, Минтруда и (или) НЦЗПД посчитают допустим возлагать такие обязанности без согласия работника на основании п. 10 Общих положений ЕКСД. По мнению автора, исходя из разъяснения НЦЗПД близкими по содержанию работ, равными по сложности и не требующими изменения квалификации служащего в отношении внутреннего контроля за обработкой персональных данных является трудовая функция юрисконсульта.
Примечание от Нормативка.by
Для ознакомления с изменениями, внесенными в Выпуск 1 ЕКСД, рекомендуем использовать комментарий Минтруда и соцзащиты от 23.01.2023 «Введены новые должности служащих. Подробный комментарий».
