Закрепление и определение обязанностей работников, непосредственно обрабатывающих персональные данные
Материал подготовлен с использованием правовых актов по состоянию на 21 июня 2023 г.
Раскрываются вопросы закрепления обязанностей работников в связи с обработкой ими персональных данных, приводятся примеры формулировок для ЛПА, устанавливающих обязанности работников.
ПРАВОВОЕ РЕГУЛИРОВАНИЕ
● Закон от 07.05.2021 № 99-З «О защите персональных данных» (далее – Закон № 99-З)
● разъяснение Национального центра защиты персональных данных от 14.02.2022 «Алгоритм приведения деятельности операторов, уполномоченных лиц в соответствие с требованиями Закона Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных»» (далее – Алгоритм НЦЗПД)
Общие положения
Для обеспечения выполнения организацией как оператором (уполномоченным лицом) Закона № 99-З необходимо грамотно определить обязанности работников, которые непосредственно обрабатывают персональные данные.
После этого организовать и провести ознакомление и обучение таких работников обязательным требованиям об обработке и защите персональных данных, определенным законодательством и ЛПА организации.
Особое внимание необходимо уделить изучению конкретных обязанностей работников и порядку их действий в конкретных служебных (рабочих) ситуациях.
Работниками, осуществляющими обработку персональных данных, являются:
● работники, трудовая функция которых в основном связана с обработкой персональных данных в информационном ресурсе (системе), а также без использования средств автоматизации, если при этом обеспечиваются поиск персональных данных и (или) доступ к ним по определенным критериям (картотеки, списки, базы данных, журналы и др.);
● иные работники, также осуществляющие обработку персональных данных.
В п. 6 Алгоритма НЦЗПД приведены примеры работников, трудовая функция которых в основном связана с обработкой персональных данных: «работники кадровых, бухгалтерских служб, работники, ответственные за функционирование информационного ресурса (системы))».
Наиболее распространены информационные ресурсы (системы): корпоративная электронная почта, программное обеспечение для ведения бухгалтерского учета и отчетности, сайты организаций, автоматизированные системы контроля и управления доступом, системы видеонаблюдения в организации, системы электронного документооборота и т.п. (п. 5 Алгоритма НЦЗПД).
Это также работники иных структурных подразделений, чья трудовая функция связана со сбором (получением), хранением, использованием, предоставлением, распространением и совершением иных действий с персональными данными (например, администраторы, работники канцелярии (отдела документационного обеспечения), подразделений, осуществляющих административные процедуры, работу с обращениями граждан и представителей юрлиц, информационное освещение деятельности организации, работники, которые получают согласие субъектов на обработку персональных данных).
Целесообразно, опираясь на штатное расписание и должностные инструкции работников, с учетом содержания трудовой функции по конкретной должности определить перечень должностей работников (без указания ФИО), трудовая функция которых в основном связана с обработкой персональных данных (далее – перечень должностей), и закрепить его в приказе.
Этот перечень должностей позволит:
● определить должности работников, на которых распространяются обязанности по защите персональных данных;
● составить список работников с указанием ФИО, занимающих такие должности;
● обеспечить охват всех этих работников (как в процессе их трудовой деятельности, так и при приеме на работу на соответствующие должности новых работников) ознакомлением с обязательными требованиями по обработке и защите персональных данных (положениями законодательства и ЛПА);
● организовать обучение всех этих работников (с учетом особенностей трудовой функции).
Вопрос.
Как и где закрепить обязанности работников в связи с обработкой ими персональных данных?
Можно определить должностные обязанности работников путем дополнения их должностных инструкций (как правило, так и делается). Но подробно все обязанности работников при обработке персональных данных и по их защите только в должностной инструкции изложить не получится, т.к.:
● перечень таких обязанностей должен быть детализированным, тогда их перечисление займет достаточно большой объем текста должностной инструкции;
● обязанности при обработке персональных данных и по их защите будут в большей части идентичными для всех должностей и будут просто повторяться в должностных инструкциях;
● это приведет к тому, что собственно трудовая функция работника будет занимать меньший объем должностной инструкции, чем обязанности по обработке и защите персональных данных.
Вместе с тем должностные обязанности работников можно закреплять не только в должностных инструкциях, но и в ЛПА организации, которые тоже являются обязательными для работников.
Это можно сделать в Положении о порядке обработки персональных данных (далее – Положение), в котором отдельным разделом предусмотреть «Общие обязанности работников, трудовая функция которых в основном связана с обработкой персональных данных».
Важно
Принятие такого Положения в качестве отдельного ЛПА не подменяет Политику организации в отношении обработки персональных данных (далее – Политика).
Политика пишется для людей – субъектов персональных данных, а Положение определяет, как в организации должны соблюдаться требования законодательства о защите персональных данных и обеспечиваться права субъектов персональных данных.
В Положении, наряду с определением общих обязанностей работников при обработке персональных данных, порядка хранения, уничтожения/удаления персональных данных и т.д., установить также порядок получения в организации согласий субъектов на обработку их персональных данных (в письменном и электронном виде), учета и хранения полученных согласий.
Такой порядок тоже определяет обязанности работников. На основании соответствующих нормативных положений, закрепленных в Положении, разработать пошаговую инструкцию (алгоритм) получения согласия субъекта, которую после проведения обучения передать работникам для повседневного использования.
Если определить обязанности работников при обработке персональных данных в Положении, тогда их должностные инструкции можно будет дополнить незначительно по объему путем отсылки к этому ЛПА.
Кроме того, для закрепления обязанностей работников внести отсылочные положения в Правила внутреннего трудового распорядка (далее – ПВТР) (при определении общих обязанностей работников).
Дополнить положения о структурных подразделениях в части, определяющей должностные обязанности их руководителей, нормами об организации и контроле обработки и защиты персональных данных в подчиненном структурном подразделении.
Примеры формулировок для ЛПА, устанавливающих обязанности работников
Наряду с соответствующими предписаниями ст. 16 Закона № 99-З и п. 6 Алгоритма НЦЗПД в перечне обязанностей работников, трудовая функция которых в основном связана с обработкой персональных данных, можно в Положении закрепить дополнительные обязанности по обработке персональных данных.
Пример 1.
Образец Положения о порядке обработки персональных данных (фрагмент)
|
… 1. знать и выполнять требования законодательства, Политики, настоящего Положения и иных ЛПА о защите персональных данных, порядке их обработки, соблюдении и реализации прав субъектов персональных данных (далее – обязательные требования о защите персональных данных); 2. выполнять письменные и устные приказы, распоряжения директора, распоряжения своих руководителей, письменные и устные требования лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных в организации (далее – лицо, ответственное за осуществление внутреннего контроля), в пределах его компетенции по вопросам соблюдения установленного порядка обработки и защиты персональных данных; 3. в случае возникновения спорных вопросов и конфликтных ситуаций с субъектами персональных данных немедленно сообщать об этом своему непосредственному руководителю и (или) лицу, ответственному за осуществление внутреннего контроля, для их привлечения к разрешению ситуаций и недопущению жалоб; 4. соблюдать порядок хранения содержащих персональные данные документов на бумажном носителе и в электронном виде, в том числе баз данных, устройств записи/хранения компьютерной информации с персональными данными (далее – носители персональных данных), и их защиты от несанкционированного доступа, ознакомления и других незаконных действий с ними; 5. не допускать хранение носителей персональных данных в общедоступных и иных незащищенных местах, не оставлять их без присмотра (контроля); 6. сохранять в тайне доверенные пароли доступа к документам и базам данных в электронной форме, никому не передавать пароли доступа без разрешения руководителя структурного подразделения; 7. носители персональных данных во время работы располагать так, чтобы исключить возможность ознакомления с ними иных лиц, не имеющих к ним доступа; 8. не допускать избыточной обработки персональных данных: не изготавливать и не хранить документы (их копии), содержащие персональные данные, при отсутствии законных целей и правовых оснований для этого; при составлении документов с персональными данными ограничиваться минимальными, действительно необходимыми в документе сведениями; определять количество экземпляров документов, содержащих персональные данные, в строгом соответствии со служебной необходимостью; 9. принимать меры по своевременному обнаружению и пресечению фактов несанкционированного доступа к персональным данным, ознакомления с ними, других незаконных действий с персональными данными либо попыток таких действий; 10. принимать меры по незамедлительному восстановлению персональных данных, измененных или удаленных вследствие таких незаконных действий; 11. не допускать самому работнику и иным лицам несанкционированный доступ к персональным данным и их носителям, ознакомление с ними, а также незаконные сбор (получение), систематизацию, хранение, изменение, завладение, использование, обезличивание, блокирование, удаление, распространение, предоставление (передачу) персональных данных, в том числе в целях, не предусмотренных Политикой, а также в целях, не связанных с выполнением трудовых (служебных) обязанностей, в личных целях, в интересах посторонних физических и юридических лиц как в период работы в организации, так и после расторжения трудовых отношений с организацией (далее – незаконные действия с персональными данными); 12) незамедлительно сообщать своему непосредственному руководителю, а тот, в свою очередь, лицу, ответственному за осуществление внутреннего контроля: о допущенных им, работником, фактах незаконных действий с персональными данными; о ставших известных ему, работнику, фактах незаконных действий с персональными данными, совершенных другими работниками организации или иными лицами, а равно о попытках или угрозе незаконных действий с персональными данными; об утрате или недостаче вверенных работнику носителей персональных данных; о причинах или условиях незаконных действий с персональными данными или угрозе таких действий, а также причинах и условиях утраты носителей персональных данных; о требованиях предоставления персональных данных; незамедлительно по требованию лица, ответственного за осуществление внутреннего контроля, предъявлять ему для проверки все вверенные работнику носители персональных данных, предоставлять доступ к информационным ресурсам и программно-техническим средствам, с помощью которых осуществляется обработка персональных данных; давать устные и письменные объяснения лицу, ответственному за осуществление внутреннего контроля, оказывать ему содействие при проведении проверок, служебных расследований по фактам нарушения законодательства о защите персональных данных, рассмотрении жалоб и иных обращений; обеспечивать лицу, ответственному за осуществление внутреннего контроля, возможность осуществления своих прав и обязанностей в пределах его компетенции по вопросам соблюдения установленного порядка обработки и защиты персональных данных. … |
Если определить обязанности работников при обработке персональных данных в Положении, тогда должностные инструкции работников можно будет дополнить только незначительно по объему – путем отсылки к этому ЛПА, кроме того, конкретизировать в них обязанности исходя из специфики деятельности работника.
Пример 2.
Образец должностной инструкции работника с обязанностями по обработке персональных данных (фрагмент)
|
… 1. «ОБЩИЕ ПОЛОЖЕНИЯ» Должен знать: … 1.3. нормативные положения о порядке обработки и защите персональных данных; …
2. «ДОЛЖНОСТНЫЕ ОБЯЗАННОСТИ» Обязан: … 2.5. выполнять требования законодательства о защите персональных данных, Политики нанимателя в отношении обработки персональных данных, ЛПА, устанавливающих порядок обработки и защиты персональных данных, распоряжения директора, других руководителей и лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных, по вопросам соблюдения установленного на предприятии порядка обработки и защиты персональных данных; 2.6. не допускать нарушений порядка сбора, систематизации, хранения, изменения, использования, обезличивания, блокирования, распространения, предоставления, удаления персональных данных; 2.7. (конкретные обязанности с учетом трудовой функции работника).
6. «ОТВЕТСТВЕННОСТЬ» Несет ответственность: … 6.4. за нарушение требований по охране труда или правил пожарной безопасности, а также за нарушение законодательства о защите персональных данных – в пределах, определенных законодательством о труде, административным, уголовным и гражданским законодательством Республики Беларусь. … |
Запрет «не допускать нарушений порядка сбора, систематизации, хранения, изменения, использования, обезличивания, блокирования, распространения, предоставления, удаления персональных данных» соответствует формулировке дополнительного основания прекращения трудового договора (контракта), определенной в п. 10 ч. 1 ст. 47 Трудового кодекса и в подп. 6.141 п. 6 Декрета Президента от 15.12.2014 № 5 «Об усилении требований к руководящим кадрам и работникам организаций».
В п. 6 Алгоритма НЦЗПД сказано, что в должностных инструкциях остальных работников, обрабатывающих персональные данные, может быть предусмотрена их обязанность «соблюдать установленный законодательством о защите персональных данных и ЛПА порядок обработки персональных данных».
Особенности обработки и защиты персональных данных определяются:
● сферой деятельности организации – отразить эти особенности при определении общих обязанностей работников в Положении;
● трудовой функцией работника – конкретизировать обязанности отдельных работников в должностных инструкциях.
Вывод
Общие обязанности работников, чья трудовая функция в основном связана с обработкой персональных данных, изложить в ЛПА – Положении.
Должностные инструкции таких работников дополнить путем отсылки к этому ЛПА, кроме того, конкретизировать в них обязанности исходя из специфики деятельности (трудовой функции) работника.
Внести такие же отсылочные положения в ПВТР (при определении общих обязанностей работников).
Дополнить положения о структурных подразделениях в части, определяющей должностные обязанности их руководителей, нормами об организации и контроле обработки и защиты персональных данных в подчиненном структурном подразделении.
Организовать и провести ознакомление и обучение работников обязательным требованиям об обработке и защите персональных данных, а также обязанностям работников и порядку их действий в конкретных служебных ситуациях.
