Защита персональных данных. Локальные документы

Примерный перечень локальных актов и документов для реализации требований законодательства по защите персональных данных.

Локальные нормативные акты оформляются и используются в работе предприятия в соответствии с требованиями законодательства.

№ пп	Разрабатываемый акт, документ	Нормативный правовой акт	Требование нормативного правового акта
1.	Акты оператора ПД (положения, инструкции), содержащие требования к обеспечению конфиденциальности ПД	ФЕДЕРАЛЬНЫЙ ЗАКОН от 27 июля 2006 года N 152-ФЗ"О персональных данных"	Статья 7. Конфиденциальность персональных данных 1. Операторами и третьими лицами, получающими доступ к персональным данным, должна обеспечиваться конфиденциальность таких данных
2	Согласие в письменной форме субъекта персональных данных на обработку своих персональных данных	ФЕДЕРАЛЬНЫЙ ЗАКОН от 27 июля 2006 года N 152-ФЗ «О персональных данных»	Статья 9. Согласие субъекта персональных данных на обработку своих персональных данных 1. Субъект персональных данных принимает решение о предоставлении своих персональных данных и дает согласие на их обработку своей волей и в своем интересе 4. В случаях, предусмотренных настоящим Федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных.
3	Документы, подтверждающие предоставление субъекту персональных данных определенной Федеральным Законом «О персональных данных» информации, в случае если персональные данные были получены не от субъекта персональных данных.	ФЕДЕРАЛЬНЫЙ ЗАКОН от 27 июля 2006 года N 152-ФЗ"О персональных данных"	Статья 18. Обязанности оператора при сборе персональных данных 3. Если персональные данные были получены не от субъекта персональных данных, за исключением случаев, если персональные данные были предоставлены оператору на основании федерального закона или если персональные данные являются общедоступными, оператор до начала обработки таких персональных данных обязан предоставить субъекту персональных данных следующую информацию: 1) наименование (фамилия, имя, отчество) и адрес оператора или его представителя; 2) цель обработки персональных данных и ее правовое основание; 3) предполагаемые пользователи персональных данных; 4) установленные настоящим Федеральным законом права субъекта персональных данных.
4	Документы, содержащие положения о принятии оператором ПД организационных и технических мер для защиты персональных данных	ФЕДЕРАЛЬНЫЙ ЗАКОН от 27 июля 2006 года N 152-ФЗ «О персональных данных»	Статья 19. Меры по обеспечению безопасности персональных данных при их обработке*19) 1. Оператор при обработке персональных данных обязан принимать необходимые организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий.
5	Уведомление об обработке персональных данных	ФЕДЕРАЛЬНЫЙ ЗАКОН от 27 июля 2006 года N 152-ФЗ «О персональных данных»	Статья 22. Уведомление об обработке персональных данных 1. Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.*22.1)
6	ПОЛОЖЕНИЕ о персональных данных государственного гражданского служащего и ведении его личного дела	ПОЛОЖЕНИЕ о персональных данных государственного гражданского служащего Российской Федерации и ведении его личного дела УТВЕРЖДЕНО Указом Президента Российской Федерации от 30 мая 2005 года N 609	1. Настоящим Положением определяется порядок получения, обработки, хранения, передачи и любого другого использования персональных данных государственного гражданского служащего Российской Федерации (далее — гражданский служащий), а также ведения его личного дела
7	Положение об обработке персональных данных, осуществляемой в информационных системах персональных данных	ПОЛОЖЕНИЕ об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных УТВЕРЖДЕНО постановлением Правительства Российской Федерации от 17 ноября 2007 года N 781.	10. Безопасность персональных данных при их обработке в информационной системе обеспечивает оператор или лицо, которому на основании договора оператор поручает обработку персональных данных (далее — уполномоченное лицо). Существенным условием договора является обязанность уполномоченного лица обеспечить конфиденциальность персональных данных и безопасность персональных данных при их обработке в информационной системе. 11. При обработке персональных данных в информационной системе должно быть обеспечено: а) проведение мероприятий, направленных на предотвращение несанкционированного доступа к персональным данным и (или) передачи их лицам, не имеющим права доступа к такой информации.
8	Положение об обработке персональных данных, осуществляемой без использования средств автоматизации	ПОЛОЖЕНИЕ об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации УТВЕРЖДЕНО постановлением Правительства Российской Федерации от 15 сентября 2008 года N 687	3. Правила обработки персональных данных, осуществляемой без использования средств автоматизации, установленные нормативными правовыми актами федеральных органов исполнительной власти, органов исполнительной власти субъектов Российской Федерации, а также локальными правовыми актами организации, должны применяться с учетом требований настоящего Положения.
9	Документ, подтверждающий информирование лиц, осуществляющих обработку персональных данных	ПОЛОЖЕНИЕ об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации УТВЕРЖДЕНО постановлением Правительства Российской Федерации от 15 сентября 2008 года N 687	6. Лица, осуществляющие обработку персональных данных без использования средств автоматизации (в том числе сотрудники организации-оператора или лица, осуществляющие такую обработку по договору с оператором), должны быть проинформированы о факте обработки ими персональных данных, обработка которых осуществляется оператором без использования средств автоматизации, категориях обрабатываемых персональных данных, а также об особенностях и правилах осуществления такой обработки
10	Типовые формы документов, разработанные в соответствии с требованиями данного Положения.	ПОЛОЖЕНИЕ об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации УТВЕРЖДЕНО постановлением Правительства Российской Федерации от 15 сентября 2008 года N 687	7. При использовании типовых форм документов, характер информации в которых предполагает или допускает включение в них персональных данных (далее — типовая форма), должны соблюдаться следующие условия: а) типовая форма или связанные с ней документы (инструкция по ее заполнению, карточки, реестры и журналы) должны содержать сведения о цели обработки персональных данных, осуществляемой без использования средств автоматизации, имя (наименование) и адрес оператора, фамилию, имя, отчество и адрес субъекта персональных данных, источник получения персональных данных, сроки обработки персональных данных, перечень действий с персональными данными, которые будут совершаться в процессе их обработки, общее описание используемых оператором способов обработки персональных данных; б) типовая форма должна предусматривать поле, в котором субъект персональных данных может поставить отметку о своем согласии на обработку персональных данных, осуществляемую без использования средств автоматизации, — при необходимости получения письменного согласия на обработку персональных данных; в) типовая форма должна быть составлена таким образом, чтобы каждый из субъектов персональных данных, содержащихся в документе, имел возможность ознакомиться со своими персональными данными, содержащимися в документе, не нарушая прав и законных интересов иных субъектов персональных данных; г) типовая форма должна исключать объединение полей, предназначенных для внесения персональных данных, цели обработки которых заведомо не совместимы.
11	Акт оператора, устанавливающий требования к ведению журналов (реестров, книг …), содержащих персональные данные	ПОЛОЖЕНИЕ об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации УТВЕРЖДЕНО постановлением Правительства Российской Федерации от 15 сентября 2008 года N 687	8. При ведении журналов (реестров, книг), содержащих персональные данные, необходимые для однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях, должны соблюдаться следующие условия: а) необходимость ведения такого журнала (реестра, книги) должна быть предусмотрена актом оператора, содержащим сведения о цели обработки персональных данных, осуществляемой без использования средств автоматизации, способы фиксации и состав информации, запрашиваемой у субъектов персональных данных, перечень лиц (поименно или по должностям), имеющих доступ к материальным носителям и ответственных за ведение и сохранность журнала (реестра, книги), сроки обработки персональных данных, а также сведения о порядке пропуска субъекта персональных данных на территорию, на которой находится оператор, без подтверждения подлинности персональных данных, сообщенных субъектом персональных данных;
12	Акт оператора, устанавливающий требования к хранению материальных носителей содержащих персональные данные	ПОЛОЖЕНИЕ об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации УТВЕРЖДЕНО постановлением Правительства Российской Федерации от 15 сентября 2008 года N 687	15. При хранении материальных носителей должны соблюдаться условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный к ним доступ. Перечень мер, необходимых для обеспечения таких условий, порядок их принятия, а также перечень лиц, ответственных за реализацию указанных мер, устанавливаются оператором.
13	Акт оператора ПД о классификации информационных систем	Порядок проведения классификации информационных систем персональных данных. Утвержденный приказом ФСТЭК России, ФСБ России, Мининформсвязи России от 13 февраля 2008 года N 55/86/20	18. Результаты классификации информационных систем оформляются соответствующим актом оператора.
14	Акт оператора ПД, устанавливающий порядок обработки персональных данных работников	ТРУДОВОЙ КОДЕКС РОССИЙСКОЙ ФЕДЕРАЦИИ от 30 декабря 2001 года N 197-ФЗ Статья 86. Общие требования при обработке персональных данных работника и гарантии их защиты	8) работники и их представители должны быть ознакомлены под роспись с документами работодателя, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области
15	Акт оператора ПД, устанавливающий порядок хранения и использования персональных данных работников	ТРУДОВОЙ КОДЕКС РОССИЙСКОЙ ФЕДЕРАЦИИ от 30 декабря 2001 года N 197-ФЗ Статья 87. Хранение и использование персональных данных работников	Порядок хранения и использования персональных данных работников устанавливается работодателем