Защита персональных данных работников. Положения о защите персональных данных работников регламентируют Конституция Российской Федерации Конституция Российской. - презентация

1 Защита персональных данных работников

2 Положения о защите персональных данных работников регламентируют Конституция Российской Федерации Конституция Российской Федерации Федеральный закон 27 июля 2006 г. 149-ФЗ «Об информации, информационных технологиях и о защите информации»; Федеральный закон 27 июля 2006 г. 149-ФЗ «Об информации, информационных технологиях и о защите информации»; Федеральный закон от 27 июля 2006 г. 152-ФЗ «О персональных данных» Федеральный закон от 27 июля 2006 г. 152-ФЗ «О персональных данных» Трудовой кодекс Российской Федерации Трудовой кодекс Российской Федерации подзаконные нормативные правовые акты (постановления Правительства РФ, ведомственные нормативные правовые акты), а также на локальном уровне должны приниматься нормативные и иные акты в целях обеспечения защиты персональных данных работников. подзаконные нормативные правовые акты (постановления Правительства РФ, ведомственные нормативные правовые акты), а также на локальном уровне должны приниматься нормативные и иные акты в целях обеспечения защиты персональных данных работников.

3 персональные данные – любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в т.ч. его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация. персональные данные – любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в т.ч. его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.

4 Персональные данные относятся к категории конфиденциальной информации, которые указаны в Перечне сведений конфиденциального характера (утвержден Указом Президента РФ от 6 марта 1997 г. 188 «Об утверждении Перечня сведений конфиденциального характера»). Персональные данные относятся к категории конфиденциальной информации, которые указаны в Перечне сведений конфиденциального характера (утвержден Указом Президента РФ от 6 марта 1997 г. 188 «Об утверждении Перечня сведений конфиденциального характера»). работодатель, получающий доступ к персональным данным, должен обеспечить конфиденциальность таких данных. работодатель, получающий доступ к персональным данным, должен обеспечить конфиденциальность таких данных.

5 Образовательные учреждения, являющиеся некоммерческими организациями, обязаны в установленных федеральным законодательством случаях, в том числе в рамках реализации предусмотренного Федеральным законом «О профессиональных союзах, их правах и гарантиях деятельности» права на информацию (ст. 17), представлять по запросу профсоюзной организации сведения о численности и об оплате труда работников учреждения. Образовательные учреждения, являющиеся некоммерческими организациями, обязаны в установленных федеральным законодательством случаях, в том числе в рамках реализации предусмотренного Федеральным законом «О профессиональных союзах, их правах и гарантиях деятельности» права на информацию (ст. 17), представлять по запросу профсоюзной организации сведения о численности и об оплате труда работников учреждения.

6 Постановлением Правительства РФ от 17 ноября 2007 г. 781 утверждено Положение об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных Постановлением Правительства РФ от 17 ноября 2007 г. 781 утверждено Положение об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных установлены требования к обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, представляющих собой совокупность персональных данных, содержащихся в базах данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации. установлены требования к обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, представляющих собой совокупность персональных данных, содержащихся в базах данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации.

7 Информационные системы персональных данных работников образовательных учреждений, созданные до 1 января 2010 года, должны быть приведены в соответствие с требованиями ФЗ о персональных данных не позднее 1 января 2011 года. Информационные системы персональных данных работников образовательных учреждений, созданные до 1 января 2010 года, должны быть приведены в соответствие с требованиями ФЗ о персональных данных не позднее 1 января 2011 года.

8 Постановлением Правительства РФ от 15 сентября 2008 г. 687 утверждено Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации. Постановлением Правительства РФ от 15 сентября 2008 г. 687 утверждено Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации.

9 Приказом Федеральной службы по техническому и экспортному контролю (ФСТЭК) от 5 февраля 2010 г. 58 утверждено Положение о методах и способах защиты информации в информационных системах персональных данных, регламентирующее вопросы, связанные с порядком применения методов и способов защиты информации в информационных системах персональных данных оператором или уполномоченным им лицом. Приказом Федеральной службы по техническому и экспортному контролю (ФСТЭК) от 5 февраля 2010 г. 58 утверждено Положение о методах и способах защиты информации в информационных системах персональных данных, регламентирующее вопросы, связанные с порядком применения методов и способов защиты информации в информационных системах персональных данных оператором или уполномоченным им лицом.

10 Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Россвязькомнадзор) Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Россвязькомнадзор) приказ от 17 июля 2008 г. 08 приказ от 17 июля 2008 г. 08 утвержден образец уведомления об обработке (о намерении осуществлять обработку) персональных данных и Рекомендации по заполнению образца формы уведомления об обработке (о намерении осуществлять обработку) персональных данных. утвержден образец уведомления об обработке (о намерении осуществлять обработку) персональных данных и Рекомендации по заполнению образца формы уведомления об обработке (о намерении осуществлять обработку) персональных данных.

11 Ст. 22 ФЗ о персональных данных установлено, что оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных, относящихся к субъектам персональных данных, которых связывают с оператором трудовые отношения. Ст. 22 ФЗ о персональных данных установлено, что оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных, относящихся к субъектам персональных данных, которых связывают с оператором трудовые отношения. Следовательно, образовательные учреждения не должны уведомлять этот уполномоченный орган об обработке ими персональных данных работников, состоящих в трудовых отношениях с учреждениями. Следовательно, образовательные учреждения не должны уведомлять этот уполномоченный орган об обработке ими персональных данных работников, состоящих в трудовых отношениях с учреждениями.

12 Планирование мероприятий по защите персональных данных работников

13 Необходимо: Необходимо: разработать локальные акты (нормативные и правовые), связанные не только с организационной и правовой, но и технической защитой персональных данных; разработать локальные акты (нормативные и правовые), связанные не только с организационной и правовой, но и технической защитой персональных данных; проработать механизмы взаимоотношений с органами, осуществляющими управление в сфере образования, профсоюзными организациями, органами контроля и надзора и т.д. проработать механизмы взаимоотношений с органами, осуществляющими управление в сфере образования, профсоюзными организациями, органами контроля и надзора и т.д.

14 Обязательные этапы работ по защите персональных данных работников: - определение всех ситуаций, когда требуется проводить обработку персональных данных; - выделение процессов, в которых обрабатываются персональные данные; - выделение процессов, в которых обрабатываются персональные данные; - выбор ограниченного числа процессов для проведения аналитики (на этом этапе формируется перечень подразделений и работников, участвующих в обработке персональных данных в рамках своей служебной деятельности); - выбор ограниченного числа процессов для проведения аналитики (на этом этапе формируется перечень подразделений и работников, участвующих в обработке персональных данных в рамках своей служебной деятельности); - определение круга информационных систем и совокупности обрабатываемых персональных данных; - определение круга информационных систем и совокупности обрабатываемых персональных данных; - проведение категорирования персональных данных и предварительной классификации информационных систем; - проведение категорирования персональных данных и предварительной классификации информационных систем; - разработка пакета организационно-распорядительных документов для обеспечения защиты персональных данных (положения, приказы, акты, инструкции и т.п.); - разработка пакета организационно-распорядительных документов для обеспечения защиты персональных данных (положения, приказы, акты, инструкции и т.п.); - внедрение системы обеспечения безопасности информации - внедрение системы обеспечения безопасности информации

15 Защита персональных данных работников в образовательном учреждении создание внутренней документации по работе с персональными данными; создание внутренней документации по работе с персональными данными; создание организационной системы защиты персональных данных; создание организационной системы защиты персональных данных; внедрение технических мер защиты персональных данных. внедрение технических мер защиты персональных данных.

16 Правовое регулирование вопросов обеспечения защиты персональных данных работников на локальном уровне

17 ст. 85 ТК РФ к персональным данным работника относит информацию, необходимую работодателю в связи с трудовыми отношениями и касающаяся конкретного работника.

18 Ответственность за нарушение требований по защите персональных данных В соответствии со ст. 24 ФЗ персональных данных лица, виновные в нарушении требований этого федерального закона, несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством Российской Федерации ответственность. В соответствии со ст. 24 ФЗ персональных данных лица, виновные в нарушении требований этого федерального закона, несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством Российской Федерации ответственность.

19 Статьей 87 Трудового кодекса РФ предусмотрено, что порядок хранения и использования персональных данных работников устанавливается работодателем с учетом требований ТК РФ и иных федеральных законов, что подразумевает регулирование порядка обработки персональных данных работников локальными нормативными и иными актами. Статьей 87 Трудового кодекса РФ предусмотрено, что порядок хранения и использования персональных данных работников устанавливается работодателем с учетом требований ТК РФ и иных федеральных законов, что подразумевает регулирование порядка обработки персональных данных работников локальными нормативными и иными актами.

20 Положение о защите персональных данных работников, которое принимается с учетом мнения выборного органа первичной профсоюзной организации учреждения в порядке, предусмотренном ст. 372 ТК РФ Положение о защите персональных данных работников, которое принимается с учетом мнения выборного органа первичной профсоюзной организации учреждения в порядке, предусмотренном ст. 372 ТК РФ

21 Необходимо также наличие следующих документов: В процессе получения персональных данных работников: - согласие работника на получение работодателем персональных данных от третьих лиц - согласие работника на получение работодателем персональных данных от третьих лиц - уведомление работника о получении его персональных данных от третьих лиц - уведомление работника о получении его персональных данных от третьих лиц При осуществлении обработки персональных данных работников: При осуществлении обработки персональных данных работников: - согласие работника на обработку его персональных данных - согласие работника на обработку его персональных данных - приказ об утверждении списка лиц, имеющих доступ к персональным данным работников - приказ об утверждении списка лиц, имеющих доступ к персональным данным работников - обязательство о неразглашении персональных данных работников - обязательство о неразглашении персональных данных работников При передаче персональных данных работников: - согласие работника на передачу его персональных данных третьим лицам - согласие работника на передачу его персональных данных третьим лицам

22 Рекомендуется ведение в образовательном учреждении следующих учетных документов движения персональных данных работников: журнал учета внутреннего доступа к персональным данным работников в учреждении; журнал учета внутреннего доступа к персональным данным работников в учреждении; журнал учета выдачи персональных данных работников учреждения организациям и государственным органам; журнал учета выдачи персональных данных работников учреждения организациям и государственным органам; журнал проверок наличия документов, содержащих персональные данные работников. журнал проверок наличия документов, содержащих персональные данные работников. журнал учета применяемых работодателем носителей информации. журнал учета применяемых работодателем носителей информации.

23 Получателями персональных данных работника на законном основании являются: органы социального страхования, органы пенсионного обеспечения, а также иные органы, организации; органы социального страхования, органы пенсионного обеспечения, а также иные органы, организации; налоговые органы); налоговые органы); органы прокуратуры и другие правоохранительные органы органы прокуратуры и другие правоохранительные органы федеральная инспекция труда федеральная инспекция труда профессиональные союзы профессиональные союзы другие органы и организации в случаях, предусмотренных федеральным законом. другие органы и организации в случаях, предусмотренных федеральным законом.

24 Система государственного надзора и контроля в области персональных данных Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) Федеральная служба по техническому и экспортному контролю (ФСТЭК) Федеральная служба по техническому и экспортному контролю (ФСТЭК) Федеральная служба безопасности (ФСБ) Федеральная служба безопасности (ФСБ) Федеральная инспекция труда Федеральная инспекция труда