Разработка положения о защите персональных данных: что необходимо учесть?

Трудовой Кодекс РФ не только установил понятие «персональных данных», но и определил порядок работы с ними. Основная нагрузка по регулированию возложена на внутренние (локальные нормативные) акты организации, которые должны определять порядок работы с персональными данными. Однако ограничение доступа к данным не должно означать закрытости регулирования. Иными словами, работник должен знать какие данные работодатель хранит и обрабатывает, а любые изменения должны быть доведены до его сведения, лично и под роспись (ст. 86 ТК РФ).

На практике основным документом, регулирующим указанные выше правоотношения, является Положение о персональных данных работников (Образец «Положения о защите персональных данных»).

С учетом скупости юридической практики, компании нередко сталкиваются с проблемой: что необходимо отразить в Положении, какие нормы законов следует учесть.

Прежде всего, следует внимательно ознакомиться с Законом N 152-ФЗ, Положением об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации утвержденным Постановлением Правительства РФ от 15.09.2008 N 687, и Положением об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных утвержденным Постановлением Правительства РФ от 17.11.2007 N 781.

Если резюмировать содержание приведенных выше нормативных актов, то в Положение обязательно надо включить:
- сведения о работниках, относящиеся к персональным данным (адреса, телефоны, размер оплаты труда и т.д.);
- существующий режим организации доступа к персональным данным и, то какие лица и в какой объеме имеют право на получение соответствующего доступа;
- взаимные права и обязанности наемного сотрудника и работодателя в сфере передачи, хранения и обработки персональных данных;
- порядок работы с персональными данными (сбор, обработка, хранение, уничтожение);
- каким образом работник имеет право знакомиться с имеющимися у работодателя персональными данными;
- ответственность за нарушение правил работы с персональными данными.