Инструкция по работе с персональными данными в школе
Обновлено: 09.05.2024
Любой оператор, осуществляющий сбор персональных данных пользователей через сайт, обязан опубликовать на своем сайте Политику конфиденциальности.
Данный документ направлен на повышение прозрачности процессов обработки персональных данных и обычно включает в себя следующие разделы: общие положения, основания и условия обработки персональных данных, права пользователей при обработке их персональных данных, цели обработки персональных данных, виды обрабатываемых данных, информацию о передаче персональных данных третьим лицам, сведения об обеспечении безопасности персональных данных, а также информацию об операторе и обратную связь.
4. Согласие на обработку персональных данных, разрешенных субъектом для распространения (новое требование)
Как еще может называться данный документ:
- Согласие на распространение персональных данных
Согласие на распространение персональных данных оператор должен оформлять отдельно от иных согласий субъекта на обработку его персональных данных. Перед оформлением такого согласия оператор обязан обеспечить субъекту возможность определить перечень персональных данных по каждой из категории, указанной в этом согласии. То есть оператор предоставляет субъекту список - какие именно его персональные данные будут обрабатываться (например, при приеме на работу будут обрабатываться паспортные данные, Ф.И.О., адрес и т.д.). Из списка субъект должен выбрать те данные, которые можно распространять.
Если из согласия на обработку упомянутых данных не следует, что лицо согласилось с их распространением, оператор обрабатывает данные без права распространения. Молчание или бездействие лица не считается согласием на обработку указанных данных. Требования к содержанию такого согласия устанавливает Роскомнадзор (ч. 9 ст. 9, ст. 23 ФЗ-152.
Как еще может называться данный документ:
- Согласие на обработку персональных данных
- Согласие пользователя
Персональные данные пользователей любого сайта могут собираться и обрабатываться исключительно с их согласия. Согласие пользователя должно быть конкретным, информированным и сознательным, что влияет на структуру документа и способ его размещения.
Информированное согласие пользователя обычно включает в себя: сведения об операторе, цели обработки персональных данных, виды обрабатываемых данных, кому персональные данные могут передаваться. Текст информированного согласия размещается под формами сбора персональных данных на сайте вместе со ссылкой на Политику конфиденциальности.
Как еще может называться данный документ:
Положение об обработке и защите персональных данных является одним из основных локальных актов оператора и определяет для каждой цели обработки таких данных содержание обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, сроки их обработки и хранения, порядок уничтожения таких данных при достижении целей обработки или при наступлении иных законных оснований.
Зачем нужен документ:
Документ предназначен для предоставления субъекту персональных данных разъяснений юридических последствий его отказа предоставить персональные данные. В частности, обработка персональных данных необходима работодателю для заключения трудового договора.
Зачем нужен документ:
Данный документ устанавливает ряд обязанностей для работника оператора, имеющего доступ к персональным данным, в частности, обязанность по соблюдению режима конфиденциальности персональных данных.
Зачем нужен документ:
Данный документ закрепляет перечень типовых форм, используемых оператором, которые содержат персональные данные.
Как еще может называться данный документ:
- Правила рассмотрения запросов субъектов персональных данных или их представителей
Правила рассмотрения запросов субъектов персональных данных определяют порядок учета (регистрации) и рассмотрения запросов субъектов персональных данных или их уполномоченных представителей.
Зачем нужен документ:
Правила осуществления внутреннего контроля устанавливают регламент проверки соответствия обработки персональных данных требованиям к защите персональных данных, установленных законодательством о персональных данных и принятыми в соответствии с ним локальными актами оператора.
Как еще может называться данный документ:
- Модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных
- Постановление Правительства РФ от 01.10.2012 г. №1119
- Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных (утв. ФСТЭК от 14.02.2008 г.);
- Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных (утв. ФСТЭК от 15.02.2008 г.)
Как еще может называться данный документ:
- Поручение обработки персональных данных
- Договор на обработку персональных данных
- Договор обработки персональных данных
- Дополнительное соглашение на поручение обработки персональных данных
От оператора персональных данных необходимо отличать лицо, которое осуществляет обработку по поручению такого оператора (обработчик). Обработчиками обычно выступают организации оказывающие услуги на аутсорсинге, например, провайдеры облачных сервисов или аутсорсинг-бухгалтерия.
С такими лицами должен быть заключен договор поручения. В таком договоре должен содержаться перечень операций с персональными данными, которые будут совершаться обработчиком, цели обработки, обязанность соблюдать конфиденциальность персональных данных.
Зачем нужен документ:
На ответственного за обеспечение безопасности персональных данных возлагаются функции администратора безопасности при обработке персональных данных оператором. Ответственный за обеспечение безопасности персональных данных действует в соответствии с утверждённой инструкцией.
Зачем нужен документ:
Данным приказом утверждаются места хранения документов, форм и иных материальных носителей, содержащих персональные данные. Ответственный за организацию обработки персональных данных проверяет сохранность материальных носителей и следит за поддержанием актуальности утверждённых мест хранения.
Зачем нужен документ:
Данным приказом утверждается перечень данных, обрабатываемых в информационных системах персональных данных оператора. В приказе перечисляются персональные данные, которые хранятся и обрабатываются оператором, а также устанавливается срок, по истечению которого те или иные данные из перечня подлежат удалению.
Зачем нужен документ:
Данным приказом утверждается список должностей работников, доступ которых к персональным данным необходим для выполнения их служебных обязанностей. Ответственный за организацию обработки персональных данных проводит обучение назначенных данным приказом работников.
Как еще может называться данный документ:
- Перечень информационных систем персональных данных
В Приказе об утверждении перечня информационных систем персональных данных (ИСПДн) указывается назначение системы, составляющей основную цель обработки персональных данных. Например, автоматизация процессов кадрового учета, процессов расчета заработной платы. Также в документе указываются категории и объем персональных данных в соответствии с Постановлением Правительства РФ от 01.11.2012 №1119.
Как еще может называться данный документ:
- Приказ об определении границ контролируемой зоны и требований к ее безопасности
Данным приказом устанавливаются границы контролируемой зоны информационных систем персональных данных. В периметре установленных границ ответственные за организацию обработки и за безопасность персональных данных осуществляют контроль за обработкой персональных данных и обеспечивают их безопасность.
Одной из причин принятия данного закона послужили многочисленные факты краж баз персональных данных в государственных и коммерческих структурах, их повсеместная продажа.
Закон вступил в силу 1 июля 2011 года. МАОУ СОШ № 3 является оператором, осуществляющим обработку персональных данных сотрудников, учащихся и их родителей (законных представителей) школы, а также физических лиц, состоящих в иных договорных отношениях с МАОУ СОШ № 3.
Школа занесена в РЕЕСТР операторов, осуществляющих обработку персональных данных на сайте РОСКОМНАДЗОРА.
Сейчас в нашей школе собираются, хранятся, обрабатывается, предаются в вышестоящие инстанции персональные данные сотрудников, детей. Поэтому руководителю нашей школы необходимо сделать все, чтобы было соблюдено действующее законодательство в области защиты персональных данных.
Таким образом, в настоящее время проблема защиты персональных данных является очень актуальной.
Действие закона распространяется не только на бумажные носители, но и на электронные средства, такие как автоматизированные информационные системы и электронные базы данных.
фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; адрес; контактные телефоны родителей учащихся (законных представителей), сведения об учебном процессе и занятости обучающегося ( перечень изученных, изучаемых предметов и факультативных курсов, успеваемость, в том числе результаты текущего контроля успеваемости, промежуточной и итоговой аттестации, данные о посещаемости уроков, причины отсутствия на уроках, поведение в школе, награды и поощрения и др.; сведения о гражданстве, паспортные данные, сведения об образовании, воинской обязанности, трудовом стаже, о предыдущем месте работы, составе семьи, сведения о количестве детей с целью получения подарков, заработной плате по письменному запросу банка с целью получения мной кредита в документальной/электронной форме, социальных льготах, адрес места жительства, номера личных телефонов, фотографии, информация об образовании, страховом пенсионом свидетельстве, ИНН, сведения об аттестации, повышении квалификации, профессиональной переподготовке, сведения о наградах (поощрениях, почетных званиях).
2021 год — всплеск изменений в законодательстве по персональным данным. О том, что нужно знать кадровику, какие документы проверить и как привести их в соответствие новым требованиям, какова ответственность, рассказывает Мария Финатова, юрист по трудовому праву, эксперт в области работы с персональными данными и автор вебинара про изменения в работе с персональными данными.
- Скачайте бесплатно шпаргалку в конце статьи: случаи, когда Роскомнадзор можно не уведомлять о начале обработки персональных данных.
В конце статьи есть шпаргалка
Мария, давайте начнем с краткого обзора изменений законодательства. На что нужно обратить внимание?
Основные изменения произошли в марте и июле. К осени мы ожидаем выход нормативных правовых актов, которые будут определять порядок работы с получением согласия на распространение персональных данных через информационную систему Роскомнадзора и порядка работы в ней. Пока документы проходят официальные чтения.
С 1 марта 2021 года:
С 1 июля 2021 года:
Есть ли обязательный перечень документов по персональным данным для организаций?
Перечень обязательных документов по персональным данным, которые должны быть в каждой организации, зависит от того, каким оператором является работодатель и какие персональные данные он обрабатывает.
Оператор — это юридическое или физическое лицо (например, индивидуальный предприниматель или лицо, с которым заключен гражданско-правовой договор), осуществляющее обработку персональных данных. Круг прав и обязанностей в области обработки персональных данных будет зависеть от целей и задач конкретного оператора.
Основные обязательные документы:
- Политика в отношении персональных данных — в первую очередь должна быть в организации (ст. 18.1 Федерального закона № 152-ФЗ).
Обратите внимание: законодательно требований к документу не установлено. Есть разъяснения Роскомнадзора по его содержанию. Рекомендуем их учитывать.
- Локальный нормативный акт по персональным данным — определяет порядок обработки персональных данных в конкретной организации, с ним должны быть ознакомлены все работники под подпись. Наличие документа обусловлено требованием ст. 86 Трудового кодекса РФ.
При анализе содержания локального нормативного акта по персональным данным необходимо руководствоваться:
Требования к форме согласия установлены ст. 9 Федерального закона № 152-ФЗ. Количество согласий на обработку персональных данных зависит от количества субъектов, чьи данные обрабатываются в организации.
Пример: от работника необходимо получить как минимум два согласия: одно при прохождении собеседования (когда он еще соискатель) и второе, когда он уже стал работником, до заключения с ним трудового договора.
Внимание: с 1 марта 2021 года в организации нужно также оформлять новый документ — согласие на распространение персональных данных (ст. 10.1 Федерального закона № 152-ФЗ).
Это минимальный список обязательных документов по персональным данным, который должен быть в каждой организации.
Точный перечень зависит от того, какие данные обрабатываются организацией и какие законодательные требования к их обработке установлены.
Каковы штрафы за нарушения обработки и распространения персональных данных?
Все действия с персональными данными относятся к их обработке: сбор, систематизация, накопление, хранение, уточнение, изменение, использование, передача, обезличивание, блокирование, уничтожение и т.д.
Любые действия, направленные на раскрытие персональных данных неопределенному кругу лиц, считаются распространением персональных данных и требуют наличия согласия.
Ответственность предусмотрена ст. 13.11 п. 2, 2.1 КоАП РФ. В случае если порядок получения согласия нарушен, его форма неверная или в ней отсутствуют частично обязательные условия, грозит увеличенный штраф:
- для должностных лиц — от 20 000 до 40 000 руб.
- для юридических лиц — от 30 000 до 150 000 руб.
За повторное нарушение ввели новые штрафы:
- для должностных лиц — от 40 000 до 100 000 руб.
- для индивидуальных предпринимателей — от 100 000 до 300 000 руб.
- для юридических лиц — от 300 000 до 500 000 руб.
Назовите контрольные точки. Что нужно знать кадровику, чтобы не попасть на штрафы?
Что необходимо проверить:
Нужно ли уведомлять Роскомнадзор об обработке персональных данных? И что будет, если этого не сделать?
Да, уведомлять органы Роскомназдора о начале обработки персональных данных обязательно в соответствии с требованиями ст. 22 Федерального закона № 152-ФЗ, за исключением случаев, предусмотренных вышеуказанной статьей. Если вы попадаете под исключения, то уведомлять Роскомнадзор не требуется:
- перечень случаев-исключений смотрите в шпаргалке (скачайте в конце статьи).
В конце статьи есть шпаргалка
За нарушение порядка уведомления Роскомнадзора предусмотрена административная ответственность. Работодателю грозит предупреждение или наложение административного штрафа:
- для должностных лиц — от 300 до 500 руб.;
- для юридических лиц — от 3 000 до 5 000 руб.
Любой аудит начинается с определения перечня документов, которые будут подлежать проверке.
- В обязательном порядке необходимо проверить не только правильность оформления документов, но и каким образом выстроены процессы и процедуры при осуществлении обработки персональных данных.
Алгоритм действий:
- Отберите документы по персональным данным, которые будут подлежать проверке: локальные нормативные акты, согласия от работников, соискателей, третьих лиц, и др. субъектов, чьи данные обрабатываются), приказы, инструкции, регламенты, типовые формы документов, содержащие персональные данные. Проанализируйте их на предмет соответствия требованиям действующего законодательства.
- Проверьте порядок получения персональных данных от каждого субъекта.
- Проанализируйте, как осуществляется обработка персональных данных за пределами организации третьими лицами и внутри организации — при передаче из отдела в отдел по электронной почте, телефону, по запросу.
- Результаты аудита оформите актом или заключением. Форма может быть любой — главное, выявить нарушения, для того чтобы их можно было в дальнейшем устранить.
Какие самые частые нарушения допускают кадровики при работе с персональными данными?
Самые распространенные нарушения по персональным данным:
- Обработка персональных данных соискателя и третьих лиц без получения от них согласия в установленном порядке.
- Использование согласия на обработку персональных данных по форме, не соответствующей требованиям норм действующего законодательства.
- Отсутствие или неразмещение Политики в отношении персональных данных на сайте организации либо необеспечение неограниченного доступа к данному документу в организации.
- Несоответствие локального нормативного акта по персональным данным требованиям норм действующего законодательства.
- Отсутствие в организации ответственного лица или лиц за организацию обработки персональных данных.
- Незаконная передача персональных данных третьим лицам (без согласий либо с согласиями, оформленными с нарушениями).
- Нарушение порядка хранения и уничтожения персональных данных в информационных системах и на бумажных носителях.
- Нарушение порядка предоставления персональных данных или документов, содержащих персональные данные работников.
О том, как Роскомнадзор проводит проверки, на что обращает особое внимание, читайте в статье Марии Финатовой Проверки Роскомнадзора. Как подготовиться работодателю.
Какие согласия нужно взять с работника при приеме на работу?
- При приеме на работу необходимо получить от работника согласие на обработку тех его персональных данных, которые работодатель собирается обрабатывать в деловых целях, а не для исполнения требований норм действующего законодательства.
Пример: для создания адреса электронной почты, оформления визиток, поздравления с днем рождения, указания в графике работ и т.д. (ст. 6 и 9 Федерального закона № 152-ФЗ).
- Если работодатель будет распространять персональные данные работника, то ему необходимо получить на это отдельное согласие от работника (ст. 10.1 Федерального закона № 152-ФЗ).
- Еще одно согласие в обязательном порядке работодатель как оператор персональных данных должен получить до начала трудовых отношений, когда работник имеет статус соискателя и его данные обрабатываются в других целях, нежели при трудоустройстве.
Есть ли срок действия согласий, которые мы берем у работников, нужно ли их обновлять?
У согласий, которые предоставляет работник на обработку персональных данных, безусловно, есть срок действия. Его определяет сам работник — это является одним из обязательных условий в соответствии с требованиями п. 4 ст. 9 Федерального закона № 152-ФЗ.
Внимание: от корректности указанного работником срока действия согласия зависит возможность обработки оператором его персональных данных. Не рекомендуется устанавливать срок на период действия трудовых отношений, так как после увольнения работника вы обязаны будете прекратить обработку его данных, указанных в согласии, и уничтожить персональные данные в установленные законом сроки — в течение 30 дней.
На указание срока влияют цели обработки и перечень осуществляемых действий с персональными данными.
Рекомендация: при подписании согласия разъясните работнику, для чего указан срок обработки персональных данных и почему он такой. Как правило, на практике операторы сами указывают срок в форме согласия, а субъекты подписывают его и вопросов не возникает. Но следует помнить, что субъект может при подписании согласия изменить срок как на больший, так и на меньший, ведь это его законное право. Оптимально — договориться с работником и указать срок, удобный обеим сторонам. Плюс работодателю будет удобно учесть требования архивного законодательства. Например, прописать срок 75 лет.
Как реагировать на запрос сведений о работниках сторонними организациями? Кому можно отказать, а кому нет? Как аргументировать свои действия?
Когда можно предоставлять персональные данные без согласия работника
Предоставлять персональные данные субъекта сторонним организациям без его согласия можно, если эти случаи предусмотрены законом. Например, идет судебный процесс и суд делает соответствующий запрос по работнику — работодатель может сообщить сведения, получать согласие у работника он не обязан.
Когда нельзя предоставлять персональные данные без согласия работника
На практике может случиться, что в организацию поступает звонок от потенциального работодателя или из банка с вопросами о работнике. Такой запрос не предусмотрен нормами действующего законодательства. Работодатель не имеет права раскрывать данные работника третьим лицам без его согласия, которое должно быть получено с соблюдением требований ст. 9 Федерального закона № 152-ФЗ.
Важно: нельзя передавать или подтверждать по телефону действительность и принадлежность персональных данных субъекта (работника, соискателя, третьего лица и др.), так как по телефону сложно идентифицировать лицо, от которого поступает звонок. При подобной передаче сведений может быть нарушен порядок обработки и разглашены персональные данные постороннему лицу. Предоставление персональных данных возможно только на основании письменного запроса от третьего лица, которому необходимы персональные данные.
Как действовать при запросе данных третьими лицами
- Главное условие, чтобы это был запрос от того юридического или физического лица, кто хочет получить персональные данные. Поясните, что ответ будет предоставлен только при наличии письменного согласия субъекта персональных данных. Если данные необходимо получить вашей организации, действуйте по аналогии — направляйте официальный запрос.
Сбор сведений в рамках зарплатного проекта является обработкой персональных данных?
Да, так как банк является третьим лицом, которому будут предоставляться персональные данные работника. Для их предоставления от работника необходимо получить согласие на передачу персональных данных, в котором помимо общих условий указать название банка, адрес его местонахождения, перечень передаваемых персональных данных банку, цели передачи, перечень действий, совершаемых с персональными данными. Требования к форме согласия предусмотрены п. 4 ст. 9 Федерального закона № 152-ФЗ.
Работодатель собирает сведения о детях работников с целью вручения подарков к праздникам — как правильно оформить процедуру?
Оптимальный перечень документов на работника: какие данные запрещено требовать и хранить?
Помните, что работодатель вправе запрашивать у работника как при приеме на работу, так и в дальнейшем только те документы, которые являются обязательными по закону:
- документ, удостоверяющий личность, СНИЛС (если он есть у работника), военный билет, документ об образовании и т.д.
Обработка иных дополнительных персональных данных из документов, предоставленных работником, требует наличия согласия на обработку персональных данных от работника.
Запрашивать нужно только те документы, которые в первую очередь необходимы для выполнения требований законодательства, а во вторую очередь — для целей работодателя.
- Пример целей, определенных законом: для приема на работу, для заключения трудового договора, для начисления заработной платы, для предоставления отпуска и т.д.
- Пример целей работодателя: создание адреса электронной почты с указанием имени или фамилии работника, для оформления визиток, для поздравления с днем рождения, для заказа пропуска и т.д.
Оптимально хранить оригиналы документов, необходимые работодателю:
- к таким документам относятся трудовой договор, письменные соглашения к нему, согласия на обработку и распространение персональных данных, заявления, приказы, личная карточка Т-2.
Хранение копий документов возможно только в случаях, разрешенных законодательством, либо для исполнения обязательств по договору с третьими лицами. В противном случае, если копии документов будут храниться без достаточных на то законных обоснований, это может быть признано избыточными персональными данными по отношению к заявленным целям обработки, что, в свою очередь, нарушает порядок обработки персональных данных и влечет возможность привлечения к административной ответственности.
Рекомендации кадровикам по работе с персональными данными работников
Мы наблюдаем тенденцию стремительного изменения законодательства по персональным данным. Рекомендую держать руку на пульсе, ведь одновременно с изменениями в порядке оформления документов и процессов по персональным данным ужесточается и ответственность за нарушения.
Штрафы выросли в разы и достигают уже не тысячных, а миллионных цифр в отношении операторов, которые допускают нарушения по ПД.
Шпаргалка
В шпаргалке собрана полезная информация из статьи:
Случаи, когда Роскомнадзор можно не уведомлять о начале обработки ПД 548.7 КБ
Документы, которые должны быть у оператора
Стоит отметить, что конкретного перечня и количества документов законодательство не устанавливает. Единственное требование — чтобы документов было достаточно и они были необходимы. В предыдущей статье мы говорили об
В этом материале мы остановимся на документах, которые посвящены общим вопросам и документам, регламентирующим действия сотрудников, работающих с персональными данными.
Учредительные документы оператора . Это устав и учредительный договор. Для некоторых организаций необходимы оба документа, для других – достаточно одно из них.
Выписка из ЕГРЮЛ . Документ, предоставляемый компанией, должен быть актуален на момент проверки.
Копия уведомления об обработке ПДн . Документ должен быть составлен согласно методическим рекомендациям .
Согласие на обработку ПДн . В документе должны быть указаны данные человека, чьи данные обрабатываются: ФИО, паспортные данные. Согласие должно быть подписано.
Правила обработки персональных данных . Это один из главных локальных актов оператора. В нем прописываются цели собора персональных данных, категории субъектов персданных, порядок их обработки, сроки хранения, правила уничтожения.
Последствия отказа предоставить персональные данные . Документ необходим компаниям для объяснения, какие юридические последствия может нести отказ в предоставлении персданных.
Соглашение о неразглашении информации, содержащей ПДн . Здесь прописываются обязанности работка оператора, который имеет доступ к персональным данным.
Перечень форм, содержащих персональные данные . В документе закрепляются формы, содержащие ПДн, которые использует оператор.
Правила рассмотрения запросов субъектов персональных данных. Здесь прописывается порядок регистрации пользователя на сайте и сроки рассмотрения его запросов.
Правила осуществления внутреннего контроля . В документе прописывается, какими средствами необходимо защищать персональные данные при обработке, чем обоснованы требования и как реализуются.
Приказ об утверждении перечня персональных данных . В этом документе указывается перечень ПДн, которые обрабатывает оператор, и сроки, по истечению которых данные необходимо удалить.
Инструкция пользователя при возникновении нештатной ситуации . Этот документ описывает возможные аварийные ситуации, которые могут произойти с информационной системой, а также меры и средства, которые будут предприниматься для непрерывной работы ИСПДн в аварийных ситуациях.
Приказ об утверждении перечня ИСПДн . Здесь указывается назначение системы, которая составляет главную цель обработки ПДн (порядок расчета зарплаты, автоматизация учета кадров). В приказе также указываются категории персданных и их объем в соответствии с постановлением правительства РФ №1119 .
Инструкция по организации антивирусной защиты в ИСПДн . Документ разрабатывается для защиты персональных данных от несанкционированного копирования, изменения или уничтожения вирусами или другими вредоносными программами.
Инструкция пользователя ИСПДн . В документе прописывается порядок, которому должен следовать специалист, работающий с персональными данными, по соблюдению конфиденциальности информации.
Инструкция по учету лиц, допущенных к работе с персональными данными в ИСПДн . В документе прописан порядок учета сотрудников, которые работают с ПДн, правила открытия и закрытия доступа к данным.
Инструкция по проведению инструктажа, допущенных к работе в ИСПДн . В инструкции необходимо указывать порядок проведения инструктажа для сотрудников, отвечающих за работу с персональными данными.
Журнал учета прав доступа к ИСПДн . В журнале ведется учет сотрудников, которые работают с персональными данными, их должности, права, которыми они обладают, и время, в течение которого у них имеется доступ к ПДн.
Акт определения уровня защищенности персональных данных . Документ составляется для каждой информационной системы персональных данных. В структуру документа входит обрабатываемые в ИСПДн данные, их объем, типы угроз информационной системы, уровень защищенности ПДн.
Приказ о наделении сотрудника полномочиями работы с ПДн . Документ должен включать перечень должностных обязанностей и быть подписан генеральным директором.
Приказ о назначении ответственного за безопасность ПДн . В документе прописываются инструкции, согласно которым должен действовать ответственный. Он выполняет функцию администратора, который следит за безопасностью при обработке персданных.
Приказ о допуске к обработке персональных данных . В приказе прописываются должности работников, в служебные обязанности которых входит доступ к ПДн. Обучение этих сотрудников проводит ответственный за организацию обработки персданных.
Инструкция ответственного за обеспечение безопасности ПДн . В инструкции прописаны функции, права, обязанности и ответственность сотрудника, отвечающего за безопасность ПДн. Приказ о назначении подписывает руководитель.
Журнал учета прохождения первичного инструктажа работниками . в журнале фиксируются данные сотрудников, работающих с ПДн, которые прошли первичный инструктаж.
Читайте также: