Дополнение в должностную инструкцию по защите персональных данных

Предыдущая статьяСледующая статья

• статья месяца
• персональные данные
• алгоритм

С 15 ноября 2021 г. вступил в силу Закон Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных». Кроме того, был создан Национальный центр защиты персональных данных (далее — НЦЗПД) — уполномоченный орган по защите прав субъектов персональных данных, который уже частично сформировал план проверок на 2022 год.

Рассмотрим алгоритм приведения деятельности операторов, уполномоченных лиц в соответствие с требованиями указанного Закона.

3350
Shape 1 copy 6Created with Avocode.

Шаг 1. Назначьте ответственных лиц

• Назначить структурное подразделение или лицо, ответственное за осуществление внутреннего контроля за обработкой персональных данных.
• Определить его должностные обязанности, утвердить положение об организации внутреннего контроля за обработкой персональных данных.

Варианты назначения ответственного лица:

• освобожденный работник (отдельное структурное подразделение);
• возложение дополнительных функций на одного работника организации;
• возложение дополнительных функций на нескольких работников.

Итоговые документы

• приказ о внесении изменений в штатное расписание;
• должностная инструкция;
• приказ о назначении лица (лиц), ответственного за осуществление внутреннего контроля за обработкой персональных данных;
• положение об организации внутреннего контроля за обработкой персональных данных

Шаг 2. Проанализируйте бизнес-процессы

• Выявить и зафиксировать бизнес-процессы, в которых используются персональные данные.
• Проанализировать бизнес-процессы, в которых используются персональные данные, на предмет соответствия требованиям законодательства о персональных данных.

Каждый бизнес-процесс в отношении использования персональных данных необходимо проанализировать по следующим позициям:

• цель обработки;
• подразделение (лицо), ответственное за обработку;
• категории лиц, чьи персональные данные обрабатываются;
• категории обрабатываемых персональных данных;
• правовая основа обработки;
• источник получения персональных данных;
• категории получателей персональных данных;
• срок хранения персональных данных.

Итоговые документы

• реестр обработок персональных данных

Шаг 3. Разработайте локальные правовые акты

• Издать документы, определяющие политику в отношении обработки персональных данных.
• Обеспечить неограниченный доступ, в т. ч. с использованием сети Интернет, к данной политике.
• Разработать иные (кроме определяющих политику в отношении персональных данных) документы.

Политик в организации может быть несколько. Например, одна политика для посетителей сайта, вторая — для соискателей при отборе персонала, третья — в части обработки персональных данных при видеонаблюдении и т. п.

Итоговые документы

• положение о политике организации в отношении обработки персональных данных;
• положение о порядке допуска работников и иных лиц к обработке персональных данных;
• перечень информационных ресурсов (систем), содержащих персональные данные, собственником (владельцем) которых является оператор, а также категорий персональных данных, подлежащих включению в данные ресурсы (системы);
• формы согласия субъектов персональных данных применительно к обработке персональных данных на основании согласия;
• договор между оператором и уполномоченным лицом;
• документы, устанавливающие сроки хранения персональных данных;
• приказ об установлении перечня лиц, имеющих доступ к персональным данным, обрабатываемым учреждением;
• положение об уничтожении (удалении) персональных данных

Шаг 4. Оформите кадровые документы

• Внести изменения в должностные обязанности лиц, обрабатывающих персональные данные.
• Издать приказ о внесении изменений в должностную инструкцию лиц, обрабатывающих персональные данные.
• Ознакомить работников с дополнением в должностную инструкцию и приказом о внесении дополнений в должностную инструкцию.

Итоговые документы

• дополнение должностной инструкции;
• приказ о внесении изменений в должностную инструкцию

Шаг 5. Проинформируйте работников

• Ознакомить работников и иных лиц, непосредственно осуществляющих обработку персональных данных, с положениями законодательства о персональных данных.

Варианты ознакомления работников с документами:

• ознакомление с НПА и ЛПА по вопросам обработки персональных данных под роспись;
• размещение рассматриваемых документов на стенде, в общедоступном корпоративном ресурсе и т.п.;
• выдача копий таких документов и т.п.

Итоговые документы

• лист ознакомления с НПА и ЛПА по вопросам обработки персональных данных (в случае ознакомления под роспись)

Шаг 6. Проведите обучение работников

• Обучить лиц, непосредственно осуществляющих обработку персональных данных, и лиц, ответственных за осуществление внутреннего контроля за обработкой персональных данных.

Лица, ответственные за осуществление внутреннего контроля за обработкой персональных данных, а также лица, непосредственно осуществляющие обработку персональных данных, которые обязаны проходить обучение в НЦЗПД, определены в приказе ОАЦ при Президенте Республики Беларусь от 12.11.2021 № 194 «Об обучении по вопросам защиты персональных данных».

Иные лица проходят обучение:

• в учреждениях образования, а также иных организациях, которым предоставлено право реализации образовательной программы повышения квалификации руководящих работников и специалистов;
• в других организациях по образовательной программе обучающих курсов (лекториев, тематических семинаров, практикумов, тренингов, офицерских курсов и иных видов обучающих курсов);
• у оператора (уполномоченного лица) путем изучения установленных требований в области защиты персональных данных и проверки им знаний по вопросам защиты персональных данных (в форме собеседования, опроса, тестирования и других формах контроля знаний).

Итоговые документы

• положение о порядке обучения по вопросам персональных данных;
• приказ о направлении на обучение (об организации обучения в учреждении);
• журнал учета лиц, прошедших обучение по вопросам персональных данных

Шаг 7. Разработайте организационные и технические документы

• Разработать документы, позволяющие реализовать организационные и технические меры.

Следует обеспечить:

• возможность отзыва согласия субъекта персональных данных в электронной форме, если согласие субъекта было получено в такой форме;
• подтверждение информации о способе получения согласия и условиях, при которых оно было дано;
• фиксацию и хранение информации о предоставлении персональных данных третьим лицам.

Итоговые документы

• положение о порядке рассмотрения запросов субъектов персональных данных или их представителей;
• унифицированные формы заявлений и ответов на них;
• журнал учета обращений субъектов персональных данных по вопросам обработких их персональных данных

Шаг 8. Обеспечьте техническую и криптографическую защиту персональных данных

• Осуществить техническую и криптографическую защиту персональных данных в соответствии с классификацией информационных ресурсов (систем), содержащих персональные данные.

Оператору необходимо:

• правильно классифицировать содержащиеся в информационном ресурсе (системе) персональные данные; 
• провести государственную экспертизу средств технической и криптографической защиты информации.

Итоговые документы

• экспертное заключение

Также Вы можете ознакомиться со следующими образцами документов в сфере защиты персональных данных, которые можно скачать:

– Приказ о назначении лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных
– Приказ об установлении перечня лиц, имеющих доступ к персональным данным, обрабатываемым учреждением
– Приказ о направлении на обучение по вопросам персональных данных
– Положение об обработке персональных данных
– Положение о политике в отношении обработки персональных данных
– Положение о порядке допуска работников и иных лиц к обработке персональных данных
– Положение о порядке обучения по вопросам персональных данных
– Положение о порядке рассмотрения запросов субъектов персональных данных или их представителей
– Журнал по ознакомлению работников с локальными правовыми актами в области защиты персональных данных
– Журнал учета обращений субъектов персональных данных по вопросам обработки их персональных данных
– Журнал учета согласий субъектов персональных данных
– Журнал учета прохождения первичного инструктажа по вопросам персональных данных работниками, допущенными к работе с персональными данными
– Заявление на отзыв согласия на обработку персональных данных
– Уведомление о прекращении обработки персональных данных и их удалении
– Формулировка дополнения ПВТР и должностных инструкций работников
– Реестр обработок персональных данных
– Согласие на обработку персональных данных

3350
Shape 1 copy 6Created with Avocode.

Самое значимое правовое событие этой осени: с 1 сентября 2022 года персональные данные обрабатывают по новым правилам.

Закон 266-ФЗ
(Федеральный закон от 14.07.2022 № 266-ФЗ) внес изменения в федеральный закон о персональных данных (Федеральный закон от 27.07.2006 № 152-ФЗ). Благодаря поправкам, не только обработка персональных данных с 1 сентября 2022 года происходит по новым требованиям. Также обозначены и правила, которые нужно соблюдать с 1 марта 2023 года. Они приняты в то же время, что и правки к закону о персональных данных с 1 сентября, при этом обязательны к исполнению только с 1 марта.

Таким образом, изменения в закон о персональных данных касаются всего порядка работы с ними: от особенностей согласия и уведомления Роскомнадзора до правил трансграничной передачи, прекращения обработки и исполнения новых сроков. За нарушение этих требований грозят не только крупные административные штрафы, но и уголовная ответственность (ст. 13.11, 13.12 и 19.7 КоАП РФ, ст. 137 и 272 УК РФ).

Каковы же персональные данные – изменения 2022 и как выполнить требования, которые привнесли изменения по персональным данным в работу компаний, обсудим в статье.

Персональные данные: изменения 2022

Условно все изменения персональных данных с 1 сентября 2022 (кратко – ПД, персданные) можно отнести к нескольким группам. Рассмотрим основные из них. Начнем с требований, обязательных к исполнению с 1 сентября 2022 года (по 266-ФЗ).

Обязанности оператора (работодателя)

С 1 сентября 2022 года персональные данные обрабатывают с учетом обязательных требований статьи 18.1 Закона № 152-ФЗ, которые ранее были рекомендательными. В частности, из ее текста удалено слово «могут». Поэтому теперь работодатель не просто вправе, а обязан:

• назначить ответственное лицо (структурное подразделение) за обработку ПД;

• издать и опубликовать политику по персданным;

• осуществлять внутренний контроль (аудит) ПД (способ контроля и подтверждение его проведения нужно прописать в отдельном ЛНА. Его предмет: соблюдение требований законодательства, политики, ЛНА организации по защите ПД);

Чек-лист, какие документы нужно проверить при аудите ПД, скачайте здесь.

• оценивать вред, который может быть нанесен их субъекту (способ оценки компания выбирает самостоятельно, с 1 марта 2023 года методику определит Роскомнадзор);

• выполнять другие требования статьи 18.1 Закона № 152-ФЗ.

Изменения в закон о персональных данных дополнили и сам перечень обязанностей оператора (работодателя). Например, установлено правило взаимодействия с государственной системой предотвращения атак на информационные ресурсы (ч. 12-14 ст. 19 Закона № 152-ФЗ). Также предусмотрена новая обязанность оператора (работодателя) при выявлении неправомерной или случайной передаче ПД: в течение 24 часов сообщить в Роскомнадзор и в течение 72 часов отчитаться о результатах внутреннего расследования (ч. 3.1 ст. 21, ч. 10, 11 ст. 23 Закона № 152-ФЗ).

Уведомление в Роскомнадзор

В новой редакции Закона № 152-ФЗ утратили силу положения о возможности работать с персданными без уведомления Роскомнадзора (п. 1 – 6 ч. 2 ст. 22). Теперь даже при их обработке во исполнение закона нужно в Роскомнадзор подать уведомление, чтобы попасть в реестр операторов ПД (Письмо Роскомнадзора от 19.08.2022 № 08-75348). Такое уведомление однократное. Его не нужно предоставлять по каждому работнику.

Уведомление направляют в управление ведомства в субъекте России по месту регистрации работодателя в налоговом органе (Письмо Роскомнадзора от 19.08.2022 № 08-75348, далее – Письмо № 08-75348). Сделать это можно через портал Роскомнадзора: в виде электронного уведомления, подписанного УКЭП, с помощью средств аутентификации ЕСИА, а также – на бумажном носителе. Также допустимо составить уведомление по старой форме (по Приказу Роскомнадзора от 30.05.2017 № 94). При появлении новой формы отправьте информационное письмо о внесении изменений в реестр (Письмо № 08-75348).

Ждать решения Роскомнадзора не нужно. Порядок уведомительный – обрабатывать ПД можно после получения сведений ведомством.

В Роскомнадзор подать уведомление об обработке персданных не потребуется, если (п. 8 ч. 2 ст. 22 Закона № 152-ФЗ):

• оператор обрабатывает данные без автоматизации (например, компания с численностью до 25 человек);

• ПД содержатся в информационных системах по защите безопасности государства и общественного порядка;

• ПД используют по закону о транспортной безопасности.

Содержание согласия на обработку ПД

Федеральный закон 266-ФЗ ввел дополнительные требования к содержанию согласия на обработку ПД. Теперь оно должно быть «предметным» и «однозначным». Новые требования относятся к таким условиям согласия (ч. 1 ст. 9 Закона № 152-ФЗ):

• цель обработки персональных данных;

• перечень ПД, на обработку которых дается согласие их субъекта;

• наименование или фамилия, имя, отчество и адрес лица, которое осуществляет обработку ПД по поручению оператора (если она поручена такому лицу);

• перечень действий с ПД, на совершение которых дается согласие, а также – общее описание способов обработки ПД, которые использует оператор;

• срок, в течение которого действует согласие субъекта ПД и способу его отзыва.

Если субъект ПД отказывается предоставить обязательные персданные, нужно разъяснить последствия отказа от предоставления ПД и (или) согласия на их обработку (ч. 2 ст. 18 Закона № 152-ФЗ).

Важно! Когда субъект ПД – выгодоприобретатель или поручитель, допускается обработка ПД без согласия. Обработка персданных несовершеннолетних без согласия возможна в случаях, установленных законом (ч. 3.1 ст. 4, ст. 6 Закона № 152-ФЗ).

Изменения – персональные данные 1 сентября обрабатывают по новым требованиям. Уточните алгоритм работы с персональными данными и их виды.

Требования к политике в отношении обработки ПД

Новый закон о персональных данных 2022 разъяснил требования к политике в отношении обработки ПД. Теперь в этом документе для каждой цели обработки должны быть отдельно указаны (ст. ст. 18.1, 21 Закона № 152-ФЗ):

• категории и перечень ПД;

• категории субъектов ПД;

• способы и сроки их обработки и хранения;

• порядок уничтожения ПД.

Также внесено уточнение, что размещение политики в отношении обработки ПД возможно в том числе на страницах сайта, принадлежащего оператору в информационно-телекоммуникационной сети «Интернет».

Правила прекращения обработки ПД

Установлены новые правила при обращении субъекта ПД с требованием о прекращении их обработки.

Если такое обращение поступило, оператор по общему правилу обязан в срок 10 рабочих дней прекратить их обработку (обеспечить ее прекращение). Указанный срок может быть продлен, но не более чем на пять рабочих дней: при направлении оператором в адрес субъекта ПД мотивированного уведомления с указанием причин продления срока (ч. 5.1 ст. 21 Закона № 152-ФЗ, пп. «б», п. 13 ст. 1 Закона 266-ФЗ).

Перечень нормативных правовых актов, которые обязательны при обработке ПД, скачайте по ссылке

Совет   Разработайте отдельные акты (ЛНА): по вопросам обработки ПД (под каждую цель), по процедурам выявления и предотвращения нарушений и политику в отношении обработки ПД. Проверьте, соответствуют ли ваши ЛНА требованиям Закона 266-ФЗ.

Выясните, почему опасно использовать типовые шаблоны при работе с персданными.

Уточните общие требования по составлению ЛНА об обработке ПД.

Требования закона о персональных данных: изменения с 1 марта 2023 года

С 1 марта 2023 года вступят в силу изменения по работе с ПД, которые коснутся вопросов уведомления Роскомнадзора, работы с инцидентами в области ПД, порядка уничтожения ПД и их трансграничной передачи.

Форма уведомления Роскомнадзора и сроки подачи

Закон 266-ФЗ предусматривает новые сроки:

• исключения данных из реестра операторов, если оператор отправит уведомлении о прекращении обработки ПД: само исключение – в течение 30 дней, подача заявления о прекращении – в течение 10 рабочих дней (пп. «б» п. 14 ст. 1 Закона 266-ФЗ);

• уведомления оператором в случае изменения сведений (не позднее 15 числа, следующего за месяцем, в котором возникли изменения (пп. «д» п. 14 ст. 1 Закона 266-ФЗ).

Всего будут применяться три формы уведомлений Роскомнадзора:

• уведомление до начала обработки ПД;

• уведомление о прекращении обработки ПД (в течение 10 рабочих дней с даты прекращения обработки персданных);

• уведомление об изменении данных по обработке (до 15 числа следующего месяца)

До 1 марта 2023 года будут установлены требования к подтверждению уничтожения ПД (Проект Приказа Роскомнадзора (подготовлен 19.08.2022), пп. «г» п. 13 ст. 1 Закона 266-ФЗ).

Порядок работы с инцидентами в области ПД

Изменения с сентября 2022 – персональные данные нужно усиленно защищать и сообщать об их утечке. Информация о компьютерных инцидентах по случайной передаче ПД (а также – их предоставлении, распространении, доступе) будут передавать в специальный федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности по защите прав субъектов ПД (пп. «г» п. 15 ст. 1 Закона 266-ФЗ).

Такой орган будет вести реестр учета инцидентов в области персданных и определять порядок и условия взаимодействия с операторами (работодателем) в рамках его ведения.

Ограничения при трансграничной передаче

Определен перечень иностранных государств, которые обеспечивают адекватную защиту прав субъектов ПД. К ним относят государства – стороны Конвенции Совета Европы о защите физических лиц при автоматизированной обработке ПД. Помимо них, будут допускаться государства – не участники при условии соответствия их норм права и применяемых мер по обеспечению конфиденциальности и безопасности при обработке ПД указанной Конвенции (п. 7 ст. 1 Закона 266-ФЗ).

Важно! Страны, которые обеспечивают адекватную защиту прав субъектов ПД, уточните в «Конвенции о защите физических лиц при автоматизированной обработке персональных данных» (заключена в Страсбурге 28.01.1981) и в Приказе Роскомнадзора от 15.03.2013 № 274. Проводите проверку перед каждой передачей ПД.

При намерении передать ПД трансгранично будет нужно информировать Роскомнадзор в виде отдельного уведомления, которое первоначально должно быть подано до 1 марта 2023 года (п. 7 ст. 1 Закона 266-ФЗ).

Алгоритм действий работодателя при планируемой трансграничной передаче скачайте здесь

Право оператора на трансграничную передачу зависят от того, входит ли страна для передачи ПД в перечень Роскомнадзора. Если да, передача возможна сразу после отправки уведомления. Если нет – только по истечении 10 рабочих дней после отправки уведомления и неполучения запрета или ограничения на передачу (п. 7 ст. 1 Закона 266-ФЗ, будущие ч. 10 – 15 ст. 12 Закона № 152-ФЗ).

Скачать

Download is available until [expire_date]

• Версия
  
• Скачать
  16
• Размер файла
  16.33 KB
• Количество файлов
  1
• Дата создания
  24.12.2017
• Последнее обновление
  24.12.2017

Дополнения в должностные инструкции работников, допущенных к обработке персональных данных