Как утвердить документы по ПДн: приказ и ознакомление
Как утвердить документы по персональным данным: приказ об утверждении и вводе в действие, ознакомление работников под роспись по ст. 86 ТК и ст. 18.1 закона № 152-ФЗ, образцы приказа и листа ознакомления.
Коротко: закон не задаёт, каким актом утверждать документы по персональным данным, но практика простая: один приказ руководителя об утверждении и вводе в действие и ознакомление работников под роспись. Ознакомление требует Трудовой кодекс для документов о порядке обработки данных работников (п. 8 ст. 86 ТК РФ) и закон № 152-ФЗ для работников, которые обрабатывают данные (п. 6 ч. 1 ст. 18.1). Формы приказа и листа закон не устанавливает: ниже образцы с вымышленными данными.
Главное
- Приказ — практика, ознакомление — норма. Под роспись знакомят с документами о порядке обработки данных работников (п. 8 ст. 86 ТК).
- Кого знакомить: работников, которые непосредственно обрабатывают данные (п. 6 ч. 1 ст. 18.1).
- Обучение не обязательно: закон говорит «ознакомление и (или) обучение».
- Политику ещё и публикуют (ч. 2 ст. 18.1), а не только подписывают.
- Оператор должен уметь показать документы по запросу Роскомнадзора (ч. 4 ст. 18.1). Лист ознакомления тоже документ.
Что утверждать и кто утверждает
Закон называет немного: политику, локальные акты по вопросам обработки, ответственного. Утверждает документы, как правило, руководитель: ответственный получает указания от исполнительного органа и подотчётен ему (ч. 2 ст. 22.1). В одном случае руководитель назван прямо: для информационных систем «утверждение руководителем оператора документа, определяющего перечень лиц, доступ которых к персональным данным необходим для выполнения служебных (трудовых) обязанностей» (подп. «в» п. 13 ПП № 1119).
| Документ | Утверждает | Знакомят работников | Публикуют |
|---|---|---|---|
| Политика обработки | Руководитель | Да (п. 6 ч. 1 ст. 18.1) | Да, ч. 2 ст. 18.1; при сборе через интернет — на страницах сайта |
| Положение об обработке и защите данных работников | Руководитель | Да, под роспись (п. 8 ст. 86 ТК) | Нет |
| Перечень лиц с доступом | Руководитель (для информационных систем — п. 13 ПП № 1119) | Лиц из перечня, наша рекомендация | Нет |
| Приказ об ответственном | Руководитель | Ответственного — наша рекомендация (закон требует назначить ответственного, не знакомить его под роспись), остальных — по ситуации | Контакты ответственного указывают в уведомлении |
| Инструкции, регламенты, порядок уничтожения | Руководитель или ответственный по приказу | Да, тех, кого касаются (п. 6 ч. 1 ст. 18.1) | Нет |
| Журналы, формы согласий | Приказом или приложением к положению | Тех, кто их ведёт | Формы согласий — на сайте, если сбор идёт через него (практика) |
Какие документы вообще нужны, разобрано в обзоре «Документы по персональным данным: что нужно оператору». Выбирайте из него только то, что нужно вашему учёту.
Порядок утверждения за шесть шагов
- Сверить документ с реальностью. Цели, данные, системы, подрядчики должны совпадать с тем, что вы на самом деле делаете, и с уведомлением Роскомнадзора.
- Присвоить версию и дату. Например, «Положение, версия 1.0, редакция от такой-то даты». Это наша рекомендация: так ясно, с какой редакцией знакомили.
- Издать приказ об утверждении и вводе в действие. Один приказ на комплект удобнее нескольких.
- Провести ознакомление. Каждый работник из круга, который трогает данные, расписывается в листе.
- Опубликовать политику на сайте и в других местах, где вы собираете данные (ч. 2 ст. 18.1).
- Сохранить подлинники: приказ, листы ознакомления, прежние версии документов.
Образец приказа об утверждении и вводе в действие
Образец, подставьте свои данные. Организация вымышленная. Закон формы приказа не устанавливает.
ООО «Образец»
ПРИКАЗ № ___ от «__» __________ 20__ г.
Об утверждении и введении в действие документов по обработке персональных данныхВ целях выполнения Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» ПРИКАЗЫВАЮ:
1. Утвердить и ввести в действие с «__» __________ 20__ г.:
1.1. Политику в отношении обработки персональных данных (приложение № 1);
1.2. Положение об обработке и защите персональных данных (приложение № 2);
1.3. Перечень лиц, доступ которых к персональным данным необходим для выполнения служебных (трудовых) обязанностей (приложение № 3);
1.4. [иные документы, которые у вас есть].2. Ответственному за организацию обработки персональных данных [ФИО] до «__» __________ 20__ г. ознакомить под роспись работников, непосредственно осуществляющих обработку персональных данных, с документами, указанными в п. 1. Вновь принимаемых работников знакомить до допуска к персональным данным.
3. Ответственному обеспечить размещение Политики на сайте [адрес сайта] до даты введения документов в действие.
4. Подлинники приказа, документов и листов ознакомления хранить у ответственного.
5. Признать утратившими силу [наименования прежних документов, если они были].
6. Контроль за исполнением приказа оставляю за собой.
Директор ____________ / [ФИО]
Ознакомление: кого, с чем, как
Две нормы пересекаются, но не совпадают. Трудовой кодекс говорит о работниках и их представителях и о документах, которые устанавливают порядок обработки данных работников, а также о правах и обязанностях работников (п. 8 ст. 86). Закон № 152-ФЗ говорит о работниках оператора, которые непосредственно обрабатывают данные: их знакомят с законодательством о персональных данных, требованиями к защите, политикой и локальными актами и (или) обучают (п. 6 ч. 1 ст. 18.1).
На практике проще знакомить всех, кто имеет доступ, и всех работников — с положением о данных работников. Лист ведут по каждому документу или по комплекту. Закон формы не задаёт.
Образец листа ознакомления (подставьте свои данные; примеры вымышленные):
| № | ФИО | Должность | Документ и версия | Дата | Подпись |
|---|---|---|---|---|---|
| 1 | Иванова Анна Сергеевна | Специалист по кадрам | Политика, Положение об обработке и защите ПДн, версия 1.0 | __.__.20__ | |
| 2 | Петров Олег Игоревич | Бухгалтер | Положение об обработке и защите ПДн, версия 1.0 | __.__.20__ | |
| 3 | Сидорова Мария Павловна | Менеджер | Политика, версия 1.0 | __.__.20__ |
Если у вас электронный документооборот и ознакомление идёт в системе, форму подписи нужно определять по ТК и закону об электронной подписи; эти нормы мы здесь не разбираем. Сохраните подтверждение, откуда видно кто, с чем и когда ознакомился.
Ознакомление не заменяет обучение, но и обучение необязательно в форме курса: закон допускает «ознакомление и (или) обучение». Если вы всё же решили обучать ответственного, формат описан в статье «Обучение по персональным данным».
Новые работники, изменения, версии
- Новые работники. Знакомить при оформлении и до допуска к данным (наша рекомендация).
- Изменения. Новая редакция документа проходит через тот же приказ и повторное ознакомление. Править текст «молча» нельзя: подпись в листе относится к конкретной версии.
- Старые версии. Храните: пригодятся, если придётся доказывать, что было действующим на дату события. Срок 152-ФЗ не называет, сроки хранения управленческих документов задаёт архивное законодательство; храните не меньше срока действия документа и срока работы человека, который его подписал.
- Где лежит. Подлинники приказа и листы — у ответственного, копии у кадров.
Типичные ошибки
- Утвердили, но не ознакомили. Документ в папке, а работники о нём не знают.
- Расписались «в общем». Нет версии и даты, непонятно, с чем знакомили.
- Политика на сайте не совпадает с утверждённой. Роскомнадзор сравнивает уведомление со сведениями на сайте; три и более факта несоответствия — индикатор риска (приказ Минцифры № 720). Это про сравнение с уведомлениями, а не с вашей утверждённой редакцией; но расхождение сайта и политики тоже плохо. Подробнее в статье «Проверка Роскомнадзора».
- Приказ без приложений. В нём названы документы, которых нет под рукой.
- Один раз и навсегда. Появился новый сервис или подрядчик, а документы не пересмотрены.
Опубликованная политика связана и с сайтом: «Персональные данные на сайте». Содержание и структуру политики объясняет хаб «Политика обработки персональных данных».
Как мы помогаем
В пакете документов по 152-ФЗ за 9 900 ₽ юрист пишет документы под ваш бизнес и подсказывает, где их опубликовать и как ознакомить сотрудников под подпись. Правки включены, пока вы не напишете «принимаю». Состав пакета называем после разбора, до оплаты. Само размещение на сайте делаете вы или ваш вебмастер; если нужно сделать за вас, это входит в устранение нарушений на сайте от 9 900 ₽. Чтобы документы не устаревали, есть сопровождение по персональным данным: 1 990 ₽ в месяц или 19 900 ₽ в год.
Роль ответственного, который проведёт ознакомление, описана в хабе «Ответственный за обработку персональных данных» и в статье «Приказ о назначении ответственного». Положение, которое утверждается этим приказом, — «Положение об обработке персональных данных».
Нормативные документы
На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.
- Закон № 152-ФЗ, ст. 18.1 (меры оператора, ознакомление работников, публикация политики)
- Закон № 152-ФЗ, ст. 22.1 (ответственный за организацию обработки)
- Трудовой кодекс РФ, ст. 86 (общие требования при обработке данных работника)
- Трудовой кодекс РФ, ст. 88 (передача данных работника)
- Постановление Правительства № 1119 (требования к защите данных в информационных системах)
- КоАП РФ, ст. 4.5 (давность привлечения к ответственности)
Частые вопросы
Нужен ли приказ об утверждении положения о персональных данных?
Закон такого акта прямо не требует. Это практика: приказ руководителя фиксирует дату введения в действие и состав документов. С ним проще организовать ознакомление и показать, что меры приняты (ч. 4 ст. 18.1).
Обязательно ли знакомить работников с положением под роспись?
Для документов, которые устанавливают порядок обработки данных работников, да: п. 8 ст. 86 ТК РФ. Для работников, которые обрабатывают данные, закон № 152-ФЗ требует ознакомления и (или) обучения (п. 6 ч. 1 ст. 18.1).
Какой должна быть форма листа ознакомления?
Закон форму не задаёт. Достаточно указать ФИО, должность, документ и версию, дату и подпись. Образец есть в этой статье.
Кого нужно знакомить с политикой оператора?
Работников, которые непосредственно обрабатывают данные (п. 6 ч. 1 ст. 18.1). По нашей рекомендации, политику стоит довести до всех, у кого есть доступ, и до новых работников при приёме.
Нужно ли обучать работников, если они расписались в листе?
Закон говорит «ознакомление и (или) обучение» (п. 6 ч. 1 ст. 18.1). Значит, достаточно одного из вариантов. Курс или удостоверение для этого не обязательны.
Что делать, если документ изменился?
Утвердить новую редакцию приказом, присвоить версию и ознакомить работников заново. Подпись в листе относится к конкретной редакции.
Как хранить приказы и листы ознакомления?
Срок хранения закон не называет. Наша рекомендация: подлинники у ответственного, копии у кадров, прежние версии документов сохранять. Сроки хранения управленческих документов задаёт архивное законодательство; ориентир — не меньше срока действия документа и работы подписавшего.
Нужно ли ИП утверждать документы приказом?
Если работников нет, достаточно подписать документы у себя и хранить. Если есть работники, действует п. 8 ст. 86 ТК (ознакомление под роспись) и п. 6 ч. 1 ст. 18.1 («ознакомление и (или) обучение», без подписи). Ответственного ИП назначать не обязан (ст. 22.1 только для юрлица).
Поможете подготовить документы и порядок ознакомления?
Да. В пакете документов по 152-ФЗ за 9 900 ₽ юрист пишет документы под ваш бизнес и подсказывает, где опубликовать и как ознакомить сотрудников под подпись. Правки включены, состав называем до оплаты.
Достаточно ли вывесить политику на сайте, чтобы закрыть ознакомление?
Нет. Публикация политики — отдельная обязанность (ч. 2 ст. 18.1). Ознакомление работников — другая (п. 6 ч. 1 ст. 18.1 и п. 8 ст. 86 ТК). Выполнять нужно обе.