ПОЛОЖЕНИЕ о работе с персональными данными работника (ТК РФ, ФЗ РФ от 27 июля 2006 г. № 152-ФЗ «О персональных данных»)

ПРИЛОЖЕНИЕ № 1

к коллективному договору

МАУЗ «СЦРБ» на 2013 – 2016 г.г.

ПОЛОЖЕНИЕ
о работе с персональными данными работника

(ТК РФ, ФЗ РФ от 27 июля 2006 г. № 152-ФЗ «О персональных данных»)

1. Общие положения

1.1. Настоящее Положение регулирует отношения, связанные с обработкой персональных данных, включающие в себя производимые в учреждении действия по получению, хранению, комбинированию, передаче персональных данных Работников или иному их использованию, с целью защиты персональных данных Работников от несанкционированного доступа, а также неправомерного их использования и утраты.

1.2. Положение разработано в соответствии с Конституцией Российской Федерации, Трудовым кодексом Российской Федерации, Федеральным законом «Об информации, информационных технологиях и о защите информации» № 149-ФЗ от 27.07.2006 г., Федеральным законом «О персональных данных» № 152-ФЗ от 27.07.2006 г., Постановлением Правительства Российской Федерации от 1.11.2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»  и другими определяющим и случаи и особенности обработки персональных данных нормативно-правовыми актами.

2. Понятие и состав персональных данных

2.1. Персональные данные работника - любая информация, необходимая Работодателю в связи с трудовыми отношениями и касающаяся конкретного Работника;

2.2.  – внесено в протокол разногласий.

2.3. Запрещается требовать от лица, поступающего на работу, документы, помимо предусмотренныхТрудовым кодексомРоссийской Федерации, иными федеральными законами, указами Президента Российской Федерации и постановлениями Правительства Российской Федерации.

2.4. К персональным данным работника относятся:

- анкетные и биографические данные;

- паспортные данные;

- гражданство;

- сведения о воинском учете;

- сведения об образовании;

- сведения о приеме на работу и переводах на другую работу;

- сведения о повышении квалификации, профессиональной подготовке, переподготовке, об аттестации;

- специальность и занимаемая должность;

- сведения о заработной плате;

- сведения о социальных льготах;

- сведения о стаже работы;

- сведения о семье;

- адрес места жительства, контактный телефон;

- содержание трудового договора;

- приказы по личному составу;

- личное дело и трудовая книжка;

- дополнительные сведения.

2.5. Указанные сведения и документы являются конфиденциальными. Работодатель, как оператор персональных данных, не вправе распространять персональные данные без согласия работника, если иное не предусмотрено федеральным законом.

Объем персональных данных, подлежащих обработке в учреждении может быть изменен на основании законодательства Российской Федерации.

3. Обработка персональных данных работника и гарантии их защиты

3.1. Под обработкой персональных данных понимается любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;

3.2. В целях обеспечения прав и свобод человека и гражданина работодатель и его представители при обработке персональных данных работника обязаны соблюдать следующие общие требования:

- обработка персональных данных работника может осуществляться исключительно  в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества;

- при определении объема и содержания обрабатываемых персональных данных работника работодатель должен руководствоваться Конституцией Российской Федерации, Трудовым кодексом Российской Федерации и иными федеральными законами;

- все персональные данные работника следует получать у него самого. Если персональные данные работника возможно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Работодатель должен сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение;

- работодатель не имеет права получать и обрабатывать персональные данные работника о его политических, религиозных и иных убеждениях и частной жизни. В случаях, непосредственно связанных с вопросами трудовых отношений, в соответствии со ст. 24Конституции Российской Федерации работодатель вправе получать и обрабатывать данные о частной жизни работника только с его письменного согласия;

- работодатель не имеет права получать и обрабатывать персональные данные работника о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных Трудовым кодексом Российской Федерации или иными федеральными законами;

- при принятии решений, затрагивающих интересы работника, работодатель не имеет права основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного получения.

3.3. Защита персональных данных работника от неправомерного их использования или утраты должна быть обеспечена работодателем за счет его средств в порядке, установленном Трудовым КодексомРоссийской Федерации, иными федеральными законами и настоящим Положением.

3.4. Работники и их представители должны быть ознакомлены под роспись с документами работодателя, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области.

3.5. Работники не должны отказываться от своих прав на сохранение и защиту тайны.

3.6. Работодатель при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

3.7. Работодатель обязан обеспечить безопасность персональных данных.

4. Передача персональных данных работника

4.1. При передаче персональных данных работника Работодатель должен соблюдать следующие требования:

- не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо, в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных Трудовым кодексом Российской Федерации  или иными федеральными законами;

- не сообщать персональные данные работника в коммерческих целях без его письменного согласия;

- предупредить лиц, получающих персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные работника, обязаны соблюдать режим секретности (конфиденциальности);

- осуществлять передачу персональных данных работника в пределах организации в соответствии с локальным нормативным актом, с которым работник должен быть ознакомлен под роспись;

- разрешать доступ к персональным данным работников только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные работника, которые необходимы для выполнения конкретных функций;

- не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции;

- передавать персональные данные работника представителям работников в порядке, установленном настоящим Кодексом и иными федеральными законами, и ограничивать эту информацию только теми персональными данными работника, которые необходимы для выполнения указанными представителями их функций.

5.  Права работников в целях обеспечения защиты персональных данных,

хранящихся у работодателя

5.1. В целях обеспечения защиты персональных данных, хранящихся у Работодателя, работники имеют право на:

полную информацию об их персональных данных и обработке этих данных, в том числе содержащей:

- подтверждение факта обработки персональных данных Работодателем;

- правовые основания и цели обработки персональных данных;

- цели и применяемые Работодателем способы обработки персональных данных;

- сроки обработки персональных данных, в том числе сроки их хранения;

- информацию об осуществленной или о предполагаемой трансграничной передаче данных;

- свободный бесплатный доступ к своим персональным данным, включая право  на получение копий любой записи, содержащей персональные данные работника, за исключением случаев, предусмотренных федеральным законом;

- определение своих представителей для защиты своих персональных данных;

- доступ к относящимся к ним медицинским данным с помощью медицинского специалиста по их выбору;

- требование об исключении или исправлении неверных или неполных персональных данных, а также данных, обработанных с нарушением требований Трудового кодексаРоссийской Федерации или иного федерального закона. При отказе Работодателя исключить или исправить персональные данные работника он имеет право заявить в письменной форме Работодателю о своем несогласии с соответствующим обоснованием такого несогласия. Персональные данные оценочного характера работник имеет право дополнить заявлением, выражающим его собственную точку зрения;

- требование об извещении работодателем всех лиц, которым ранее были сообщены неверные или неполные персональные данные работника, обо всех произведенных в них исключениях, исправлениях или дополнениях;

- обжалование в суд любых неправомерных действий или бездействия Работодателя при обработке и защите его персональных данных.

6. Обязанности работника при передаче персональных данных

6.1. Работник обязан:

6.1.1. передавать работодателю или его представителю необходимые достоверные, документированные персональные данные, установленные законодательством Российской Федерации;

6.1.2. своевременно сообщать работодателю об изменении своих персональных данных.

7. Требования к защите персональных данных при их обработке

в информационных системах персональных данных

7.1. При обработке персональных данных оператор обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

7.2. Безопасность персональных данных при их обработке в информационной системе обеспечивается с помощью системы защиты персональных данных, нейтрализующей актуальные угрозы, определенные в соответствии с ч. 5 ст. 19 Федерального закона «О персональных данных».

Система защиты персональных данных включает в себя организационные и (или) технические меры, определенные с учетом актуальных угроз безопасности персональных данных и информационных технологий, используемых в информационных системах.

7.3. Безопасность персональных данных при их обработке в информационной системе обеспечивает оператор этой системы, который обрабатывает персональные данные, или лицо, осуществляющее обработку персональных данных по поручению оператора (уполномоченное лицо).

7.4. Выбор средств защиты информации для системы защиты персональных данных осуществляется оператором в соответствии с нормативными правовыми актами, принятыми Федеральной службой безопасности Российской Федерации и Федеральной службой по техническому и экспортному контролю во исполнение ч. 4 ст. 19 Федерального закона «О персональных данных».

7.5. Защита персональных данных представляет собой регламентированный и динамический технологический процесс, предупреждающий нарушение доступности, целостности, достоверности  и конфиденциальности персональных данных и, в конечном счете, обеспечивающий достаточно надежную безопасность информации.

7.6. Защита персональных данных работника от неправомерного их использования или утраты обеспечивается в порядке, установленном федеральным законодательством.

7.7. Для обеспечения внутренней защиты персональных данных:

- ограничивается и регламентируется состав сотрудников, функциональные обязанности которых требуют конфиденциальных знаний;

- обоснованно распределяются документы и информация между сотрудниками;

- рационально размещаются рабочие места сотрудников, при котором исключается бесконтрольное использование защищаемой информации;

- обеспечивается знание сотрудником требований нормативно-методических документов по защите информации и сохранении тайны;

- обеспечивается наличие необходимых условий в помещении для работы с конфиденциальными документами и базами данных;

- обеспечивается организация порядка уничтожения информации.

7.8. Внешняя защита.

Для защиты конфиденциальной информации создаются целенаправленные неблагоприятные условия и труднопреодолимые препятствия для лица, пытающегося совершить несанкционированный доступ и овладение информацией.

Под посторонним лицом понимается любое лицо, не имеющее непосредственного отношения к деятельности оператора.

Для обеспечения внешней защиты персональных данных необходимо соблюдать:

- технические средства охраны, сигнализации;

- порядок охраны территории, зданий, помещений, транспортных средств.

Внешний доступ к персональным данным работников учреждения имеют уполномоченные представители определенных федеральным законодательством организаций и учреждений, для осуществления функций которых необходимо использование таких данных (контрольно-надзорные органы, фонды, страховые компании).

8. Ответственность за нарушение норм, регулирующих обработку

и защиту персональных данных работника

8.1. Персональные данные не могут быть использованы в целях причинения имущественного и морального вреда гражданам, затруднения реализации прав и свобод граждан Российской Федерации. Ограничение прав Работников на основе использования информации об их социальном происхождении, о расовой, национальной, языковой, религиозной и партийной принадлежности запрещено и карается в соответствии с законодательством.

8.2. Неправомерность деятельности Работодателя по сбору персональных данных может быть установлена судом в порядке, определенном действующим законодательством.

8.3. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных работника, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном Трудовым кодексом и иными федеральными законами, а также привлекаются к гражданско-правовой, административной и уголовной ответственности в порядке, установленном федеральными законами.