Операторы, занимающиеся обработкой персональных данных (ПДн), обязаны руководствоваться правовыми основаниями, позволяющими осуществлять все предусмотренные законодательными нормами действия с личной информацией граждан. Это необходимо, чтобы операторы не выходили за рамки требований, изложенных в Федеральном законе № 152 «О персональных данных».

Законодательство по обработке персональных данных

В марте 2009 года было издано Положение, регулирующее полномочия и правовое основание, которым наделяется Роскомнадзор в вопросах обработки ПДн. Важность разработки и внедрения этого Положения была вызвана необходимостью обеспечения безопасности персональных данных и прав граждан.

В законе № 152 (ст. 23 ч. 5 п. 3) указывается, что уполномоченный орган, выполняющий функцию защиты прав субъектов, обязан вести реестр всех операторов. Он получает правовое основание для обработки ПДн. В этот документ вносится информация непосредственно об операторах на основании поступающих сведений в уведомлениях.

После этого в соответствии с поданным информационным письмом заносятся все необходимые изменения в сведения, имеющиеся в этом реестре по конкретным операторам. В реестре также должна быть зафиксирована информация о прекращении выполнения оператором процесса обработки ПДн. Правовым основанием для выполнения этих действий является поданное заявление, которое также позволяет выдать запрашиваемую выписку из сведений, внесенных в реестр.

Ведение реестра

На официальном портале Роскомнадзора и на портале ПДн размещен исчерпывающий объем сведений по форме работы с реестром. На этих ресурсах также можно ознакомиться:

• с формой уведомления, которое будущий оператор должен составить, если он имеет намерения осуществлять обработку ПДн в правовом поле;
• с информписьмом (в виде уведомления о внесении изменений в реестр по данным об операторах);
• с формой заявления по остановке операторами обработки ПДн с указанием предусмотренного правового основания. Его образец доступен для скачивания и распечатки;
• с заявлением на получение выписок, имеющим рекомендательную форму.

Основная информация

Операторами могут являться любые органы государственного или муниципального управления, а также физлица, юрлица, обеспечивающие на правовых основаниях обработку ПДн на предприятии. Этим органам и лицам необходимо установить цели и определить содержание такой обработки.

В качестве правового основания выполнения любых действий по обработке ПДн выступают операции, совершаемые с помощью автоматизированных средств или без их применения.

Оператор может выполнять с ПДн следующие операции:

• собирать;
• записывать;
• систематизировать;
• накапливать;
• хранить;
• уточнять;
• обновлять;
• изменять;
• извлекать;
• использовать;
• передавать;
• распространять;
• предоставлять;
• создавать к ним доступ;
• обезличивать;
• блокировать;
• удалять;
• уничтожать.

Именно на эти действия уполномочен оператор при заполнении реестра.

Правовые основания

Всем организациям, учреждениям, компаниям, которые являются операторами, занимающимися сбором, обработкой, хранением ПДн, необходимо придерживаться общих требований, установленных законами России, включая требования статьи 86 ТК РФ.

Правовым основанием для обработки ПДн для компаний сельскохозяйственной отрасли, промышленных предприятий, любых других организаций является выполнение норм действующих законов и иных актов, регламентирующих эту деятельность.

В качестве целей этой обработки могут рассматриваться:

• содействие в получении работы;
• получение образования;
• повышение квалификации;
• выполнение требований по корпоративной, личной безопасности;
• обеспечение контроля качественных, количественных показателей производимой продукции и других параметров.

Все ПДн после их получения подвергаются обработке, после чего отправляются на хранение независимо от того, какие носители используются для их размещения (в бумажном или электронном вариантах).

Согласие и условия

Чтобы появились правовые основания для начала процесса обработки ПДн, работодателю нужно в обязательном порядке получить согласие от работника в письменном виде на выполнение такого рода действий. Передавать личные сведения субъектов разрешено на различных условиях. Если письменное согласие сотрудника не предоставлено, передавать ПДн третьим сторонам не разрешается. Исключение составляют случаи, когда существует угроза жизни и здоровью и возможны иные, прописанные в законодательных документах причины.

Запрещено использовать личную информацию сотрудника, если при этом преследуются коммерческие цели и не получено согласие от работника на возможность выполнения таких действий. Лица, которые получают личные данные, должны придерживаться полной конфиденциальности в отношении этой информации.

Иметь доступ к ПДн могут только те сотрудники, которые получили правовое основание, позволяющее им собирать, хранить, обрабатывать эту информацию. Сведения о здоровье работника могут быть запрошены только в объемах, необходимых для реализации трудовых отношений и выполнения им своих трудовых обязанностей.

Выполняя любое действие с ПДн, оператор должен придерживаться правил, предусмотренных в ТК РФ.

Обеспечение хранения и защиты персональных данных

Любая компания должна оформлять, формировать, вести и хранить информацию, в которой содержатся персональные данные. Такая работа всегда выполняется теми, кто наделен правовыми основаниями, которые должны быть занесены в должностные инструкции на предприятии. Лицо, ответственное за выполнение этой работы, назначается приказом генерального директора.

Посторонние лица не должны иметь доступа к персональной информации. Руководитель предприятия также должен утвердить список лиц, допущенных к такой деятельности, а генеральный директор должен завизировать этот документ.

Иметь постоянное право доступа к ПДн на предприятии могут лица из числа административных работников, такие как начальник, сотрудники, отвечающие за работу с персоналом, работник кадрового отдела (инспектор), инженерный персонал, ответственный за организацию и нормирование труда по структурным подразделениям.

В некоторых компаниях любые персональные данные могут потребоваться главному бухгалтеру в случае необходимости подготовки определенных документов.

Постоянный доступ к конфиденциальным данным имеет сотрудник, отвечающий за безопасность на предприятии, но только в рамках выделенных ему полномочий.

В список, который составляется на предприятии по лицам, имеющим доступ к ПДн сотрудников и выполняющим с ними определенную работу, могут быть включены другие работники. Он варьируется в соответствии с Правилами внутреннего трудового распорядка.

Возможность передачи данных

Передача ПДн любого сотрудника компании может выполняться, только если есть запрос, поданный государственными органами власти. Такими органами и организациями могут быть:

• органы правопорядка;
• МЧС;
• налоговые инстанции;
• судебные инстанции;
• органы безопасности;
• миграционная служба;
• военные комиссариаты;
• органы соцстраха;
• статистические службы;
• Пенсионный фонд и другие службы и органы.

Но следует учитывать требования законодательства во время предоставления запрашиваемых этими инстанциями документов с ПДн работников. Необходимо получить на выполнение этих действий письменное согласие сотрудников, в отношении которых надо сформировать и передать личные данные. Без наличия такого согласия передавать ПДн субъектов запрещено как по факсу, так и в телефонном режиме, а также по электронной почте и с использованием иных носителей. Исключение составляют случаи, указанные в законодательстве.