1. Общие положения.
1. Настоящим Положением определяется порядок обработки персональных данных работников Общества с ограниченной ответственностью "Эндохирургический Центр" (далее - Компания).
2. Обработка персональных данных работников осуществляется исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, получении образования и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества.
2. Основные понятия. Состав персональных данных работников
1. Для целей настоящего Положения используются следующие основные понятия:
персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных) (п. 1 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ);
оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными (п. 2 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ);
обработка персональных данных работника - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (п. 3 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ);
распространение персональных данных - действия, направленные на раскрытие персональных данных работников неопределенному кругу лиц (п. 5 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ);
предоставление персональных данных - действия, направленные на раскрытие персональных данных работников определенному лицу или определенному кругу лиц (п. 6 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ);
блокирование персональных данных - временное прекращение обработки персональных данных работников (за исключением случаев, если обработка необходима для уточнения персональных данных) (п. 7 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ);
уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных работников и (или) в результате которых уничтожаются материальные носители персональных данных работников (п. 8 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ);
обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному работнику (п. 9 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ).
2. Если иное не установлено Трудовым кодексом РФ, другими федеральными законами, при заключении трудового договора лицо, поступающее на работу, предъявляет работодателю:
паспорт или иной документ, удостоверяющий личность;
трудовую книжку, за исключением случаев, когда договор заключается впервые, или работник поступает на работу на условиях совместительства, или трудовая книжка у работника отсутствует в связи с ее утратой, повреждением или по другим причинам;
страховое свидетельство обязательного пенсионного страхования;
документы воинского учета - для военнообязанных и лиц, подлежащих призыву на военную службу;
документ об образовании и (или) квалификации или наличии специальных знаний - при поступлении на работу, требующую специальных знаний или специальной подготовки;
дополнительные документы - в отдельных случаях, предусмотренных Трудовым кодексом РФ, иными федеральными законами, указами Президента РФ и постановлениями Правительства РФ.
3. В администрации Компании создаются и хранятся следующие группы документов, содержащие данные о работниках в единичном или сводном виде:
3.1. Документы, содержащие персональные данные работников:
комплексы документов, сопровождающие процесс оформления трудовых отношений при приеме на работу, переводе, увольнении;
комплекс материалов по анкетированию, тестированию, проведению собеседований с кандидатом на должность;
подлинники и копии приказов (распоряжений) по кадрам;
личные дела и трудовые книжки;
справочно-информационный банк данных по персоналу (картотеки, журналы);
подлинники и копии отчетных, аналитических и справочных материалов, передаваемых руководству Компании, руководителям структурных подразделений;
копии отчетов, направляемых в государственные органы статистики, налоговые инспекции, вышестоящие органы управления и другие учреждения.
3.2. Документация по организации работы структурных подразделений:
положения о структурных подразделениях;
должностные инструкции работников;
приказы, распоряжения, указания генерального директора Компании;
документы планирования, учета, анализа и отчетности по вопросам кадровой работы.
3. Обработка персональных данных работников.
1. Источником информации обо всех персональных данных работника является непосредственно работник. Если персональные данные возможно получить только у третьей стороны, то работник должен быть заранее в письменной форме уведомлен об этом и от него должно быть получено письменное согласие. Работодатель обязан сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение.
2. Работодатель не имеет права получать и обрабатывать персональные данные работника о его расовой, национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни, за исключением случаев, предусмотренных Трудовым кодексом РФ и другими федеральными законами.
3. Работодатель не имеет права получать и обрабатывать персональные данные работника о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных Трудовым кодексом РФ или иными федеральными законами.
4. Обработка персональных данных работников работодателем возможна только с их согласия. Исключения составляют случаи, предусмотренные законодательством РФ (в частности, согласие не требуется при наличии оснований, перечисленных в п. п. 2 - 11 ч. 1 ст. 6, п. п. 2 - 10 ч. 2 ст. 10, ч. 2 ст. 11 Федерального закона от 27.07.2006 N 152-ФЗ).
5. Письменное согласие работника на обработку своих персональных данных должно включать в себя, в частности, сведения, указанные в п. п. 1 - 9 ч. 4 ст. 9 Федерального закона от 27.07.2006 N 152-ФЗ.
6. Работник Компании представляет в администрацию достоверные сведения о себе. Сотрудник администрации проверяет достоверность сведений.
7. В соответствии со ст. 86 ТК РФ в целях обеспечения прав и свобод человека и гражданина работодатель и его представители при обработке персональных данных работника должны соблюдать, в частности, следующие общие требования:
7.1. При определении объема и содержания обрабатываемых персональных данных работника работодатель должен руководствоваться Конституцией РФ, Трудовым кодексом РФ и иными федеральными законами.
7.2. При принятии решений, затрагивающих интересы работника, работодатель не имеет права основываться на персональных данных, полученных исключительно в результате их автоматизированной обработки или электронного получения.
7.3. Защита персональных данных работника от неправомерного их использования, утраты обеспечивается работодателем за счет его средств в порядке, установленном Трудовым кодексом РФ и иными федеральными законами.
7.4. Работники и их представители должны быть ознакомлены под расписку с документами Компании, устанавливающими порядок обработки персональных данных, а также об их правах и обязанностях в этой области.
7.5. Работники не должны отказываться от своих прав на сохранение и защиту тайны.
9. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
11. Обработке подлежат только персональные данные, которые отвечают целям их обработки.
12. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
13. При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Сотрудники Компании должны принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных, или неточных данных.
16. Запрещается принятие на основании исключительно автоматизированной обработки персональных данных работника решений, порождающих юридические последствия в отношения него или иным образом затрагивающих его права и законные интересы, за исключением случаев, предусмотренных Федеральным законодательством.
17. Работодатель обязан разъяснить работнику порядок принятия решения на основании исключительно автоматизированной обработки его персональных данных и возможные юридические последствия такого решения, предоставить возможность заявить возражение против такого решения, а также разъяснить порядок защиты работника своих прав и законных интересов. Работодатель обязан рассмотреть возражение работника в течении 30 (тридцати) календарных дней со дня его получения и уведомить работника о результатах рассмотрения такого возражения.
19. Работники или их представители должны быть ознакомлены под личную подпись с документами Работодателя, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области.
4. Передача персональных данных.
1. При передаче персональных данных работника работодатель должен соблюдать следующие требования:
1.1. Не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в случаях, установленных Трудовым кодексом РФ или иными федеральными законами.
1.2. Не сообщать персональные данные работника в коммерческих целях без его письменного согласия. Обработка персональных данных работников в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи допускается только с его предварительного согласия.
1.3. Предупредить лиц, получивших персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждение того, что это правило соблюдено. Лица, получившие персональные данные работника, обязаны соблюдать режим секретности (конфиденциальности). Данное правило не распространяется на обмен персональными данными работников в порядке, установленном Трудовым кодексом РФ и иными федеральными законами.
1.4. Осуществлять передачу персональных данных работников в пределах Компании в соответствии с настоящим Положением, с которым работники должны быть ознакомлены под подпись.
1.5. Разрешать доступ к персональным данным работников только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные, которые необходимы для выполнения конкретной функции.
1.6. Не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции.
1.7. Передавать персональные данные работника представителям работников в порядке, установленном Трудовым кодексом РФ и иными федеральными законами, и ограничивать эту информацию только теми персональными данными, которые необходимы для выполнения указанными представителями их функции.
2. Персональные данные работников обрабатываются и хранятся в администрации.
3. Персональные данные работников могут быть получены, проходить дальнейшую обработку и передаваться на хранение как на бумажных носителях, так и в электронном виде (посредством локальной компьютерной сети).
4. При получении персональных данных не от работника (за исключением случаев, предусмотренных ч. 4 ст. 18 Федерального закона от 27.07.2006 N 152-ФЗ) работодатель до начала обработки таких персональных данных обязан предоставить работнику следующую информацию:
- наименование (фамилия, имя, отчество) и адрес оператора или его представителя;
- цель обработки персональных данных и ее правовое основание;
- предполагаемые пользователи персональных данных;
- установленные Федеральным законом от 27.07.2006 N 152-ФЗ права субъекта персональных данных;
- источник получения персональных данных.
5. Доступ к персональным данным работников.
1. Право доступа к персональным данным работников имеют:
- генеральный директор Компании;
- работники бухгалтерии;
- руководители структурных подразделений по направлению деятельности (доступ к персональным данным только работников своего подразделения).
2. Работник Компании, в частности, имеет право:
2.1. Получать доступ к своим персональным данным и ознакомление с ними, включая право на безвозмездное получение копии любой записи, содержащей его персональные данные, за исключением случаев, предусмотренных федеральным законом.
2.2. Требовать от работодателя исключения или исправления неверных или неполных персональных данных, а также данных, обработанных с нарушением требований Трудового кодекса РФ или иного федерального закона. При отказе работодателя исключить или исправить персональные данные работника он имеет право заявить в письменной форме работодателю о своем несогласии с соответствующим обоснованием такого несогласия. Персональные данные оценочного характера работник имеет право дополнить заявлением, выражающим его собственную точку зрения.
2.3. Получать от работодателя сведения о наименовании и месте нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или на основании федерального закона.
2.4. Требовать извещения работодателем всех лиц, которым ранее были сообщены неверные или неполные персональные данные, обо всех произведенных в них исключениях, исправлениях или дополнениях.
2.5. Обжаловать в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке неправомерные действия или бездействия работодателя при обработке и защите его персональных данных.
6. Общедоступные источники персональных данных работников.
1. Включение персональных данных работников в общедоступные источники персональных данных возможно только при наличии его письменного согласия.
2. В целях информационного обеспечения Работодателем могут создаваться общедоступные источники персональных данных работников (в т.ч. справочники, адресные книги). В общедоступные источники персональных данных с письменного согласия работника могут включаться его фамилия, имя, отчество, год и место рождения, адрес и иные персональные данные, предоставленные работником.
2. При обезличивании персональных данных согласие работника на включение персональных данных в общедоступные источники персональных данных не требуется.
3. Сведения о работниках могут быть исключены из общедоступных источников персональных данных по требованию самого работника, либо по решению суда или иных уполномоченных государственных органов.
7. Защита персональных данных работников.
- Под угрозой или опасностью утраты персональных данных понимается единичное или комплексное, реальное или потенциальное, активное или пассивное проявление злоумышленных возможностей внешних или внутренних источников угрозы создавать неблагоприятные события, оказывать дестабилизирующее воздействие на защищаемую информацию.
- Риск угрозы любым информационным ресурсам создают стихийные бедствия, экстремальные ситуации, террористические действия, аварии технических средств и линий связи, другие объективные обстоятельства, а также заинтересованные и незаинтересованные в возникновении угрозы лица.
- Защита Работодателем персональных данных работника представляет собой принятие правовых, организационных и технических мер, направленных на:
- обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации,
- соблюдение конфиденциальности информации ограниченного доступа,
- реализацию права на доступ к информации.
- Для защиты персональных данных работника Работодатель соблюдает следующий ряд мер:
- наличие необходимых условий в помещении для работы с конфиденциальными документами и базами данных,
- применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах, необходимых для выполнения требований к защите персональных данных,
- применение средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия требованиям законодательства РФ,
- оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию системы персональных данных,
- учет машинных носителей персональных данных,
- определение и регламентация состава лиц, имеющих право доступа (входа) в помещение, в котором находятся персональные данные работников,
- организация порядка уничтожения информации,
- своевременное выявление нарушений требований разрешительной системы доступа,
- восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним,
- определение угрозы безопасности персональных данных при их обработке и информационных системах,
- воспитательная и разъяснительная работа с сотрудниками Работодателя по предупреждению утраты ценных сведений при работе с конфиденциальными документами,
- установление правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных,
- Бумажные носители информации могут выдаваться на рабочие места, только работникам Работодателя, допущенным к работе с персональными данными работников.
- При обработке данных на материальных носителях не допускается фиксация на одном материальном носители тех данных, цели обработки которых заведомо не совместимы.
- При несовместимости целей обработки персональных данных, зафиксированных на одном материальном носителе, если не имеется возможность осуществлять их отдельно, могут быть предприняты следующие меры:
- при необходимости использования или распространения определенных персональных данных отдельно от находящихся на том же материальном носителе других персональных данных осуществляется копирование подлежащих распространению или использованию способом, исключающим одновременное копирование персональных данных, не подлежащих распространению и использованию, и используется (распространяется) только копия,
- при необходимости уничтожения или блокирования части персональных данных уничтожаются или блокируются материальные носители с предварительным копированием сведений, не подлежащих уничтожению или блокированию, способом, исключающим одновременное копирование персональных данных, подлежащих уничтожению или блокированию.
- Уточнение персональных данных при осуществлении их обработки без использования средств автоматизации производится путем обновления или изменения данных на материальных носителях, а если это не допускается техническими особенностями материального носителя – путем фиксации на том же материальном носителе сведений о вносимых в них изменениях, либо путем изготовления нового материального носителя с уточненными персональными данными.
- Для защиты конфиденциальной информации создаются целенаправленные неблагоприятные условия и труднопреодолимые препятствия для лица, пытающегося совершить несанкционированный доступ и овладение информацией. Целью и результатом несанкционированного доступа к информационным ресурсам может быть не только овладение ценными сведениями и их использование, но и их видоизменение, уничтожение, внесение вируса, подмена, фальсификация содержания реквизитов документа и др.
10. Под посторонним лицом понимается любое лицо, не имеющее непосредственного отношения к деятельности Работодателя, посетители, работники других организационных структур. Посторонние лица не должны знать распределение функций, рабочие процессы, технологию составления, оформления, ведения и хранения источников информации о работниках.
11. Для защиты персональных данных работников необходимо соблюдать ряд мер:
- порядок приема, перевода, увольнения и т.п. работников,
- технические средства охраны, сигнализации,
- порядок охраны территории, зданий, помещений,
12. Для обеспечения безопасности персональных данных работника при неавтоматизированной обработке предпринимаются следующие меры:
- все действия по обработке персональных данных работника осуществляются только работниками Работодателя, допущенными приказом генерального директора к работе с персональными данными работников, и только в объеме, необходимом данным лицам для выполнения своей трудовой функции,
- обработка персональных данных осуществляется с соблюдением порядка, предусмотренного Постановлением Правительства от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».
13. Для обеспечения безопасности персональных данных работника при автоматизированной обработке предпринимаются следующие меры:
- персональные компьютеры, с которых осуществляется доступ к персональным данным, защищены паролями доступа, которые устанавливаются инженером и сообщаются индивидуально работнику, допущенному к работе с персональными данными и осуществляющему обработку персональных данных работника на данном ПК.
- обработка персональных данных осуществляется с соблюдением порядка, предусмотренного Постановлением Правительства от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».
14. Хранение персональных данных работников осуществляется не дольше, чем этого требуют цели их обработки, и они подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в их достижении.
15. Хранение документов, содержащих персональные данные работника, осуществляется в течение установленных действующими нормативными актами сроков хранения данных документов. По истечении установленных сроков хранения документы подлежат уничтожению в порядке, предусмотренном приказами по архивному делу.
16. Режим конфиденциальности персональных данных снимается в случае их обезличивания и по истечении срока их хранения в соответствии с приказом генерального директора или продлевается на основании приказа генерального директора если иное не предусмотрено законодательством РФ.
17. Инженером осуществляется периодическое резервное копирование персональных данных.
18. При восстановлении работоспособности программного обеспечения сначала осуществляется резервные копирование защищаемой информации, затем производится полная деинсталляция работающего программного обеспечения.
19. Восстановление программного обеспечения производится путем его инсталляции с использованием эталонных дистрибутивов, хранение которых осуществляется инженером на сервере.
20. Ответственность за проведение резервного копирования, мероприятий по восстановлению работоспособности технических средств, мероприятий по восстановлению средств защиты информации возлагается на инженера приказом генерального директора.
8. Ответственность за нарушение норм, регулирующих
обработку персональных данных.
1. Лица, виновные в нарушении положений законодательства РФ в области персональных данных при обработке персональных данных работника, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном Трудовым кодексом РФ и иными федеральными законами, а также привлекаются к административной, гражданско-правовой или уголовной ответственности в порядке, установленном федеральными законами.
2. Моральный вред, причиненный работнику вследствие нарушения его прав, нарушения правил обработки персональных данных, а также несоблюдения требований к защите персональных данных, установленных Федеральным законом от 27.07.2006 N 152-ФЗ, подлежит возмещению в соответствии с законодательством РФ. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных работником убытков.