Новые требования в работе с персональными данными работников и покупателей/клиентов

Уведомление Роскомнадзора об обработке персональных данных

Штраф за неуведомление Роскомнадзора согласно ст. 19.7 КоАП составляет для юрлиц до 5.000 руб.

Большинству лиц не требуется уведомлять Роскомнадзор об обработке персональных данных!

Смотрим раздел 1 настоящей статьи – когда не требуется получать согласие на обработку персональных данных. В указанных же ситуациях не требуется уведомлять и Роскомнадзор об обработке персональных данных.

Не вносите вклад в дурную практику получения согласия на обработку персональных данных всегда и везде (как это рекомендуют делать юристы сомнительного уровня, например, Единого центра документов).

Будьте готовы к проверкам и помните об ответственности

Максим Лагутин, сооснователь консалтинговой компании Б-152:

Роскомнадзор проводит плановые и внеплановые проверки.

К плановым проверкам относятся выездные и документарные. В первом случае сотрудники ведомства приходят лично, во втором – просят предоставить заверенные копии документов. Компании получают уведомления за 3 дня – обычно это сообщение на имейл с уведомлением, подписанным электронно-цифровой подписью. Имейл орган берет из уведомления об обработке персональных данных, которое ранее направлял оператор.

Сейчас возможны как плановые, так и внеплановые проверки. Плановые проверки проводят с применением риск-ориентированного подхода в отношении операторов, которые относятся к категории высокого риска4. Внеплановые проверки инициируют в случае утечки данных5.

Проверочные мероприятия проводят и без взаимодействия с оператором. Роскомнадзор может изучить сайт компании и направить требование об устранении выявленных нарушений. Например, нарушением будет считаться установка на сайте кода JavaScript, чтобы сервис Google Analytics собирал статистику о посетителях, если об этом нет информации в политике обработки ПД.

Роскомнадзор может проверить наличие на сайте обработки cookie-файлов, отражение этой обработки в политике и ее соответствие п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ

Или может обратить внимание на формы сбора персональных данных («задайте вопрос», «обратная связь» и т.д.) – размещены ли под ними формы согласий на обработку ПД.

Привлекут внимание Роскомнадзора крупные компании, которые работают с большим объемом конфиденциальной информации, в том числе с биометрическими данными и специальными категориями ПД. Особенно если организация допускает нарушения и ей регулярно назначают штрафы

Также проверяющих заинтересуют компании, которые: осуществляют трансграничную передачу данных в недружественные страны; не проводят локализацию баз данных на территории России; обрабатывают данные несовершеннолетних в случаях, которые не описаны в законе или имеют иные цели.

После проверки компанию могут оштрафовать, например по ст. 13.11 или ст. 19.7 КоАП РФ. Чаще штрафы назначают за обработку избыточных данных, отсутствие в общем доступе политики обработки ПД, невыполнение требований субъекта ПД, несоблюдение условий по обеспечению сохранности ПД. Самый большой штраф предусмотрен за невыполнение требований по локализации ПД – при повторных нарушениях он составляет от 6 до 18 млн руб. (ч. 9 ст. 13.11 КоАП РФ).

Для снижения рисков важно настроить внутренние системы обработки ПД и вести учет процессов обработки ПД, чтобы понимать, с какими данными и субъектами ПД вы работаете. Также необходимо назначить ответственного за организацию обработки ПД и провести обучение персонала, чтобы избежать нарушений в области персональных данных (п

1 ч. 1 ст. 18.1 Закона № 152-ФЗ).

Обеспечьте безопасность персональных данных

Алексей Мунтян, эксперт по защите персональных данных и информационной безопасности:

Как только компания получила персональные данные клиентов, сотрудников или контрагентов, у нее возникает обязанность по соблюдению конфиденциальности ПД. Она должна защищать данные и не допускать утечек (ст. 7 Закона № 152-ФЗ). Безопасность ПД обеспечивается комплексом мер правового, организационного и технического характера (ст. 19 Закона № 152-ФЗ).

Правовые меры защиты ПД

1. Принятие локальных нормативных актов и организационно-распорядительных актов:

положения (политики) по обработке и защите ПД;
положения о порядке уничтожения ПД;
политики обработки ПД пользователей сайтов;
положения о внутреннем аудите работы с ПД;
приказа о назначении ответственного по работе с ПД и др.

2. Оформление отношений с субъектами ПД и контрагентами, для чего могут понадобиться:

соглашения о неразглашении конфиденциальной информации;
поручения обработки ПД;
согласия субъектов ПД.

3. Взаимодействие с Роскомнадзором, для чего пригодятся:

уведомление о начале обработки ПД;
информационное письмо о внесении изменений в ранее поданное уведомление о начале обработки ПД;
уведомление о намерении осуществлять трансграничную передачу ПД;
уведомление о прекращении обработки ПД;
согласия субъектов ПД.

Организационные меры защиты ПД

Назначение ответственных лиц, обучение работников, формирование культуры приватности в компании.

Меры технического характера

Зачем оно требуется?

Носителем персональных данных является гражданин, с которым у организации могут быть заключены:

трудовой договор;
гражданско-правовой договор.

Обработка персональных данных физических лиц, с которыми у организации заключен договор, может проводится без их согласия, при условии:

если они не будут передаваться третьим лицам;
будут использоваться только в целях исполнения заключенного договора.

На это указывают нормы ст. 6 Закона «О персональных данных». В случае, если с физическим лицом договор не заключен, или предусматривается передача личной информации о нем третьим лицам, получение согласия на их обработку обязательно.

Когда оформляется?

При трудоустройстве гражданин предоставляет работодателю перечень документов, предусмотренных трудовым законодательством. Некоторые из них, такие как паспорт, СНИЛС, ИНН содержат общедоступные сведения. Другие, такие как, справка о состоянии здоровья и справка о наличии (отсутствии) судимости содержат специальные и биометрические данные.

При приеме на работу предоставление согласия на обработку персональных данных обязательно по следующим причинам:

трудовой договор еще не заключен;
соискателем предоставляются сведения, согласие на предоставление которых в силу закона оформляется в письменном виде.

При приеме на работу, до заключения трудового договора, человек помимо заявления о приеме на работу подает согласие на обработку персональных данных.

В отсутствие работника работодатель не сможет получить и хранить копии представленных при приеме на работу документов, содержащих в себе информацию, не требующуюся для исполнения трудового договора. Например, информацию о месте рождения или копию паспорта.

Также работодатель не имеет права обрабатывать контактную информацию работника: номер телефона или адрес электронной почты. Такие данные не нужны для исполнения договора.

Подробнее об оформлении согласия сотрудников на обработку персональных данных читайте тут, а о важных особенностях и порядке действия этой процедуры, узнайте в этом материале.

Согласие на обработку и распространение персональных данных работника

Одним из условий обработки персональных данных работников является получение работодателем согласия работников на это (п. 1 ч. 1 ст. 6 Закона № 152-ФЗ). При этом закон выделяет ряд случаев, когда согласие не является обязательным.

Согласий на обработку персональных данных может быть два

С 1 марта 2021 года в закон введено новое понятие – «Персональные данные, разрешенные для распространения». Речь идет о случаях, когда персональные данные распространяются оператором среди неограниченного круга лиц, например, при их размещении на сайте, в СМИ, других общедоступных ресурсах.

Раньше оператор персональных данных мог обрабатывать и распространять (публиковать или передавать третьим лицам) персональные данные физлица-работника, получив от него только один документ – письменное согласие на обработку его персональных данных. Теперь этого недостаточно. Если оператор хочет распространять данные (например, разместить их на сайте компании), ему придется получить не только согласие на обработку, но и новый документ – согласие на распространение персональных данных (далее – согласие на распространение, ст. 10.1 Закона № 152-ФЗ). Таким образом, для обработки и распространения персональных данных работника нужно получить у него:

согласие на обработку персональных данных (если персональные данные не планируется распространять среди неограниченного круга лиц);
согласие на распространение персональных данных (если планируется распространять данные среди неограниченного круга лиц).

Оба вида согласий могут быть получены у работника как по отдельности, так и вместе.

Когда согласие на обработку персональных данных не требуется

Работодатель может осуществлять обработку персональных данных работника без его согласия:

для осуществления оператором (работодателем) обязанностей, возложенных на него законом (п. 2 ч. 1 ст. 6 Закона № 152-ФЗ). Речь идет об обязанности работодателя предоставлять персональные данные работника:
- во внебюджетные фонды (ПФР, ФСС) (абз. 15 ч. 2 ст. 22 ТК РФ, абз. 3 п. 4 Разъяснений Роскомнадзора «Вопросы, касающиеся обработки персональных данных работников, соискателей на замещение вакантных должностей, а также лиц, находящихся в кадровом резерве» (далее – Разъяснения);
- в трудовую инспекцию (абз. 3 ч. 1 ст. 357 ТК РФ, абз. 7 п. 4 Разъяснений);
- в профсоюзы (ст. 370 ТК РФ, абз. 5 п. 4 Разъяснений);
- в прокуратуру и правоохранительные органы (абз. 7 п. 4 Разъяснений);
- в налоговые органы и военные комиссариаты (пп. 1, 2, 4 п. 3 ст. 24 НК РФ, абз. 5 п. 4 Разъяснений);
- в Роскомнадзор и его территориальные органы (ч. 4 ст. 20 Закона № 152-ФЗ);
при реализации международных соглашений (п. 2 ч. 1 ст. 6 Закона № 152-ФЗ);
при осуществлении правосудия, исполнения судебного акта и иных актов, предусмотренных законодательством об исполнительном производстве (п. 3 ч. 1 ст. 6 Закона № 152-ФЗ);
для предоставления государственной или муниципальной услуги в соответствии с Федеральным законом от 27.07.2010 № 210-ФЗ (п. 4 ч. 1 ст. 6 Закона № 152-ФЗ).
для исполнения договора, стороной, выгодоприобретателем или поручителем по которому является работник (п. 5 ч. 1 ст. 6 Закона № 152-ФЗ). Это положение позволяет работодателю не получать согласие работника, с которым заключен трудовой договор. Однако если эти данные передаются третьим лицам, то согласие необходимо (ст. 88 ТК РФ, за исключением случаев, когда такая передача обусловлена требованием закона);
для защиты жизни, здоровья и иных интересов работника (п. 6 ч. 1 ст. 6 Закона № 152-ФЗ);
для реализации прав и законных интересов оператора (работодателя) и третьих лиц или для достижения общественно значимых целей, если при этом не нарушаются права и свободы субъекта персональных данных (п. 7 ч. 1 ст. 6 Закона № 152-ФЗ);
для осуществления профессиональной деятельности журналиста и (или) законной деятельности средства массовой информации либо научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и законные интересы субъекта персональных данных (п. 8 ч. 1 ст. 6 Закона № 152-ФЗ);
в статистических или иных исследовательских целях при условии обезличивания персональных данных (п. 9 ч. 1 ст. 6 Закона № 152-ФЗ).

Что грозит за разглашение персональных данных

Как уже говорилось выше, действия, которые работодатель может совершать с персональными данными работников, четко прописываются в тексте согласия.

Если полномочия в какой-то степени превышаются, а, тем более, если происходит какое-то злоупотребление, ответственность может наступить самая серьезная: начиная от дисциплинарной и административной, вплоть до уголовной.

Для того, чтобы сотрудник имел четкое представление о том, не выходит ли запрашиваемая у него информация за рамки нужной по закону или не превышаются ли полномочия работников предприятия по тексту согласия, следует заранее проанализировать документ (возможно даже воспользовавшись помощью квалифицированного юриста) и только тогда ставить под согласием свою подпись.

В частности, данные о том, отбывал ли гражданин срок в местах лишения свободы, нужна только тогда, когда должность, на которую он претендует, напрямую требует отсутствия судимости (иными словами, если соискатель хочет работать менеджером по рекламе, такие данные он имеет право не предоставлять).

Политика конфиденциальности, Положение о персональных данных

Вот на это действительно надо обратить внимание. Закон называет оператором персональных данных любое лицо, которое осуществляет любые действия с персональными данными

Хочется верить, цель законодателя едва ли была настолько глупой, чтобы фактически любое лицо провозгласить оператором персональных данных

Закон называет оператором персональных данных любое лицо, которое осуществляет любые действия с персональными данными. Хочется верить, цель законодателя едва ли была настолько глупой, чтобы фактически любое лицо провозгласить оператором персональных данных.

Однако согласно федеральному закону от 27.07.2006 №152-ФЗ «О персональных данных» любой владелец сайта, через который собираются персональные данные (даже в целях исполнения заказов), должен иметь на сайте Политику конфиденциальности (штраф – до 30.000 руб.), а каждому работодателю или даже индивидуальному предпринимателю без работников, но заключающему договоры с физлицами, желательно иметь Положение об обработке персональных данных, которое по запросу Роскомнадзора он сможет предоставить в качестве доказательства принятия мер по защите обрабатываемых персональных данных (один из самых простых способов).

К слову, Роскомнадзор нередко трактует положения закона так, что Положение об обработке персональных данных как локальный документ (для внутреннего использования) должен быть у любого оператора персональных данных.

Подробнее в статье Политика конфиденциальности для сайта и Положение о персональных данных.

Наши юристы помогут вам разобраться в том, относится ли получаемая вами информация к персональным данным, и помогут правильно составить юридические документы, избавив от необходимости получать согласие на обработку персональных данных, т.к. в большинстве случаев персональные данные обрабатываются для исполнения договора с субъектом персональных данных.

Порядок оформления согласия на обработку персональных данных сотрудника

Разрешение на использование личных сведений чаще всего оформляется отдельным документом. Исключением из этого правила будет возникновение трудовых отношений с микропредприятиями и некоммерческими организациями (ст. 309.2 ТК РФ, Постановление Правительства РФ от 27.08.2016 № 858) — для них подобное соглашение будет частью типовой формы ТД. Централизованно утвержденного бланка нет, компании разрабатывают его самостоятельно с учетом требований законодательства. Перечень обязательных для заполнения реквизитов предусмотрен ч. 4 ст. 9 Закона о персональных данных.

Группа реквизитов	Перечень сведений
Идентификационные данные работника	• ФИО; • адрес проживания сотрудника; • данные удостоверяющего личность документа.
Информация о нанимателе	• название предприятия; • ФИО ИП; • юридический адрес.
Направления применения сведений	Цели работодателя в части обработки персональных данных в соответствии с видом деятельности, конкретными бизнес-процессами.
Список подлежащей обработке информации	Конкретное наименование персональных данных, которые планируется использовать в работе.
Список операций со сведениями, на совершение которых работник дает разрешение и описание способов их обработки	• сбор; • запись; • систематизация; • хранение; • предоставление доступа и т.д.
Время действия разрешения	Обозначается дата начала действия согласия. Период действия фиксируется либо конкретной датой, либо событием, после наступления которого он прекращается. Законодательство никак не ограничивает максимально допустимый срок использования личной информации.
Порядок отзыва согласия	Способ и форма направления отзыва.

Если согласие направляется в организацию через представителя работника, будут также необходимы сведения о нем и реквизиты доверенности на наделение полномочиями. Разрешительный документ подписывается работником лично. Для соискателей он может быть сформирован в виде отдельного приложения или включаться в состав анкеты.

Образец согласия

Согласие пишется в произвольной форме или по шаблону, который разработан и утвержден внутри организации. При этом в бланке обязательно должны быть следующие данные:

наименование компании-работодателя;
место и дата составления документа;
фамилия, имя, отчество работника, его паспортные данные и сведения о месте жительства.

Далее в основной части подробно указывается:

каких именно персональных данных касается документ;
в каких целях и что именно допустимо с ними делать;
срок действия согласия и возможность его отзыва (хотя это итак гарантировано законодательством).

Обязательно следует поставить отметку о том, что согласие написано без принуждения и в добровольном порядке. После того этого под документом ставится подпись.

СОГЛАСИЕ
НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ

г. Иваново

03.08.2018 г.

Я, Ковтун Инна Олеговна, паспорт 2495 564738, выдан Ленинским РОВД г. Иваново, адрес регистрации: г. Иваново, ул. Мельничная д.73, кв. 8, даю свое согласие ОАО «КомЖилФонд» на обработку моих персональных данных. Согласие касается фамилии, имени, отчества, данных о поле, дате рождении, гражданстве, типе документа, удостоверяющем личность (его серии, номере, дате и месте выдачи), а также сведений из трудовой книжки: опыте работы, месте работы и должности.

Я даю согласие на использование персональных данных исключительно в целях формирования кадрового документооборота предприятия, бухгалтерских операций и налоговых отчислений, а также на хранение всех вышеназванных данных на электронных носителях. Также данным согласием я разрешаю сбор моих персональных данных, их хранение, систематизацию, обновление, использование (в т.ч. передачу третьим лицам для обмена информацией), а также осуществление любых иных действий, предусмотренных действующим законом Российской Федерации.

До моего сведения доведено, что ОАО «КомЖилФонд» гарантирует обработку моих персональных данных в соответствии с действующим законодательством Российской Федерации. Срок действия данного согласия не ограничен. Согласие может быть отозвано в любой момент по моему письменному заявлению.

Подтверждаю, что давая согласие я действую без принуждения, по собственной воле и в своих интересах.

Ковтун И.О. (подпись)

Что относится к персональным данным?

Персональные данные – это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных) (ст. 3 федерального закона от 27.07.2006 №152-ФЗ «О персональных данных»).

Ни закон, ни подзаконные акты не содержат четкого указания на то, что относится к персональным данным.

Серьезные проблемы связаны с «определяемым» физическим лицом. Определяемым кем и как? По интернету любым лицом с проведением собственного поиска (насколько глубокого, насколько профессионального?)? В результате общения со знакомыми? Детективом? Полицией? ФСБ? Судом?

В ряде случаев полные ФИО и регион относили к персональным данным, в ряде – нет.

Можно написать целую статью, но к однозначному выводу о том, что всегда будет относиться к персональным данным, а что никогда не будет, на текущий момент невозможно.

Например, можно ли номер паспорта сам по себе считать персональными данными? Едва ли. А номер телефона? Тоже. Но при появлении других сведений, например: имени и фамилии (прямо относятся к субъекту персональных данных) или идентификация человека через обстоятельства, известные события и т.п. (косвенно относятся), — то в связке с другими сведениями они могут стать персональными данными.

Именные ящики в собственных доменных именах, вероятно, могут быть сами по себе отнесены к персональным данным, а с помощью имейла типа [email protected] напрямую лицо не установить, разве что косвенно – через поиск по соответствующему адресу в интернете.

Можно ли отозвать согласие

Обычно действие с согласием на обработку персональных данных происходит так: устраиваясь на работу, человек подписывает документ, после чего благополучно о нем забывает. Но в некоторых случаях, возникает необходимость об отзыве ранее подписанного согласия. Как правило, это бывает, когда работодатель нарушает условия хранения, использования и обеспечения закрытости поступившей в его распоряжение информации, а также при увольнении.

Для того, чтобы оформить отзыв достаточно всего лишь написать заявление в свободной форме, потребовать в нем прекратить сбор, обработку, использование, хранение персональных данных и уничтожить всю информацию о подчиненном (сослаться надо на закон № 152-ФЗ: п. 1 ст. 9 и п. 5 ст. 22).

Это требование должно быть выполнено не позже чем через месяц после написания отзыва.

Персональные данные: что это такое, и как они могут использоваться

Персональные данные – любые сведения о физлице, позволяющие его идентифицировать. Их перечень приведен в схеме ниже.

К нормативным актам, регламентирующим порядок обращения с личной информацией, относятся Конституция РФ и Федеральный закон от 27.07.2006 № 152-ФЗ. Допуск посторонних лиц к таким сведениям должен быть закрыт.

Под обработкой персональных сведений сотрудников понимается одна или несколько операций над информацией о человеке (с применением средств автоматизации и без них), включая:

получение;
осуществление записи;
классификацию;
накапливание;
хранение;
корректировку;
применение;
любые способы распространения;
обезличивание;
ликвидацию.

Предоставление и последующее использование нанимателем личных сведений гражданина, необходимых для трудоустройства и сотрудничества, подпадает под определение обработки персональных данных. Предприятия оформляют, сохраняют, накапливают документы с частной информацией о соискателях и работниках. По закону компания вправе проводить указанные действия, получив соответствующее согласие.

Порядок истребования согласия на обработку персональных данных от сотрудников

Компании для всех случаев обработки персональных данных сотрудников должны брать у специалистов согласие. Обязанность его оформления нанимателем в письменной форме установлена только для определенных ситуаций:

в случае получения сведений от третьих лиц;
при предоставлении сведений о трудящемся сторонним пользователям, за исключением обстоятельств, когда это нужно для защиты его жизни и здоровья;
для обработки отдельных видов персональной информации (расы, национальности, исповедуемой религии, состоянии здоровья и т.д.)

В остальных случаях письменная указанная форма необязательна. Но отсутствие документа лишает нанимателя возможности доказать получение одобрения, если с гражданином возникнет спор.

Разрешение на работу с личными сведениями необходимо получать и от соискателя, об этом прямо говорит Роскомнадзор (п.5 Разъяснений от 24.12.2012). Оформлять подобный документ не нужно, он предоставляется кадровым агентством, с которым заключен трудовой договор (ТД).

Согласие нужно далеко не всегда: нюансы, предусмотренные законодательством

Нормативными актами предусмотрены случаи, когда согласие на обработку персональных данных сотрудника не является обязательным условием:

Использование информации необходимо для выполнения работодателем возложенных на него договором или законодательством обязанностей, функций и полномочий. Например, передача отчетности в ПФР, ФСС, ФНС, военкоматы, по запросу в прокуратуру и органы МВД.
Закрепление обработки без согласия определенной информации в коллективном договоре.
Наличие обязанности обрабатывать личные сведения, прописанной в законодательстве. Например, медицинские учреждения обязаны размещать информацию о имеющейся у работников квалификации своих работников в открытом доступе.
Когда работа с персональной информацией связана с необходимостью проверки здоровья сотрудника и прямо влияет на его способность выполнять трудовые функции. Например, когда речь идет о профосмотре работника.
Получение органами прокуратуры специальных категорий информации.
Использование сведений для обеспечения возможности сотруднику выполнять свои обязанности. Например, для оформления ТД при приеме, получение разрешения не требуется, однако для дальнейшего использования такой информации в интересах компании и трудящегося, оно нужно.
Без обработки невозможно обеспечить пропускной режим на предприятии.
Использование сведений о сотрудниках после их увольнения, например, для осуществления бухгалтерского и налогового учета.

В перечисленных выше случаях компания имеет право не прекращать обрабатывать персональную информацию и после того, как сотрудник отзовет разрешение.

Последствия отказа

В любое время работник или лицо, давшее согласие на обработку данных имеет право отозвать его обратно или предоставить отказ от подписи такого документа. В этом случае предприятие или организация, уже обладающая ими обязана уничтожить всю имеющуюся информацию о работнике и прекратить передачу и сбор сведений о нем.

Если гражданин предоставляет отказ от предоставления сведений до заключения с ним договора, то это станет препятствием для приема на работу. Так как работодателю для оформления контракта и кадровых документов необходимо заполнить информацию о работнике.

В случае если работник предоставляет отказ после заключения договора, работодатель не вправе использовать сведения, не касающиеся непосредственно исполнения договора. При отказе невозможно будет хранить копии документов, использовать контактные данные сотрудника.

Формальная фраза бланка о праве отозвать согласие на обработку персональных данных ничего не решает, поскольку оператор к моменту отзыва уже имеет возможность использовать свои полномочия в полном объеме.

Сведения о человеке, которые относятся к нему лично, охраняются законом. Для получения, использования и передачи их третьим лицам требуется получить согласие гражданина на обработку персональных данных. Действующим законодательством определены случаи, когда оно должно быть в обязательном порядке. Последствия отказа от дачи согласия могут наступить как для самого субъекта, так и для организации, получившей отказ.

Какие персональные сведения о физлице работодатель имеет право получить

Компания вправе требовать от гражданина, а затем использовать предоставленные конфиденциальные сведения, в следующих целях (ст. 86 ТК РФ):

оценки кандидата на должность и оформления трудовых отношений;
обучения;
осуществления карьерного продвижения;
обеспечения безопасности;
оценки содержания и объема выполненной работы;
защиты имущественных интересов.

Требовать какие-то сведения для других целей предприятие не имеет права. Список документов для трудоустройства, ограничен перечнем, указанным в статье 65 ТК РФ.

На практике распространено также получение анкет, резюме от соискателей, в которых содержится весь приведенный в законодательстве перечень персональной информации. Без нее работодатель не будет иметь возможности оценить деловые качества кандидата на трудоустройство.

Во всех случаях наниматель обязан уведомить сотрудника о цели предоставления, источниках и методах получения, содержании требуемых личных сведений, разъяснить ему последствия отказа от их передачи.

На работодателя возлагается обязанность обеспечить сохранность сведений сотрудника за счет собственных источников финансирования. Для этого компания закрепляет ответственных за хранение личной информации работников, проводит разработку и утверждение соответствующего положения.

Что нужно учесть при составлении документа:

Установить порядок работы с информацией.
Закрепить список лиц с правом работать с ней.
Описать правила хранения документов и дел с личными сведениями.
Указать методы защиты от несанкционированного доступа.

Важный момент: с положением все работники знакомятся лично под роспись.