⚡ Продолжаем про изменения в закон о персональных данных (далее ПДн)

Какие документы нужно побудет подавать в Роскомнадзор

1⃣ Уведомление о начале обработки ПДн
Дата начала обработки ПДн в уведомлении, должна соответствовать моменту фактического начала обработки данных.

После 01 сентября 2022 закон позволяет обработку ПДн без уведомления Роскомнадзора только в двух случаях:
✔ при обработке ПДн без каких-либо средств автоматизации (на бумажных носителях, без компьютера).
✔ лицам, которые являются операторами государственных информационных систем в области безопасности государства и общественного порядка, а также лиц, обрабатывающих ПДн в соответствии с законодательством о транспортной безопасности.

Всем остальным компаниям необходимо подать уведомления для внесения в реестр операторов.

2⃣. Уведомление о том, что передаются ПДн за границу (о трансграничной передаче данных).
Если компания уже сейчас передает ПДн за границу и планирует делать это дальше, то необходимо направить Роскомнадзору уведомление до 1 марта 2023 года.
Если передавать ПДн необходимо будет после
01 марта 2023, то уведомление направляется до передачи ПДн за границу.

❗Если компания не уведомляла о себе как операторе ПДн, то подается два уведомления.
Уведомление о передаче ПДн за границу - это отдельный документ.

Правила уведомления отличаются в зависимости от того, в какую страну направляются ПДн.

Например, в США ПДн можно будет передавать только через 10 дней после уведомления Роскомнадзора.
Эта страна не обеспечивает адекватную защиту прав субъектов ПДн.

Отслеживайте проект Приказа, утверждающего новый Перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов ПДн👇
https://regulation.gov.ru/projects#npa=129709

Роскомнадзор может принять решение о запрете передачи ПДн иностранному лицу. В таком случае иностранное лицо должно уничтожить ранее полученные ПДн, а оператор должен будет предоставить подтверждение этого в Роскомнадзор.

Каким образом может быть предоставлено доказательство уничтожения ПДн иностранной компанией закон не раскрывает.

3⃣ Уведомление о том, что изменились сведения о компании.
Если сведения, указанные в уведомлении изменились, то уведомить нужно до 15 числа месяца,  следующего за месяцем, в котором произошли изменения.
До 01 сентября уведомлять нужно в течение 10 рабочих дней.

4⃣ Уведомление об утечке ПД (в том числе случайно) и хакерской атаке.
В течение 24 часов с
выявления факта утечки/ подозрения о ней уведомляют о:
✔ произошедшем инциденте
✔ предполагаемых причинах
✔ предполагаемом вреде, нанесенном правам работника
✔ принятых мерах по устранению последствий
✔ лице, уполномоченном работодателем цна взаимодействие с Роскомнадзором по данному вопросу.

О результатах расследования нужно сообщить  в течение 72 часов, указав данные лиц, действия которых стали причиной инцидента (при их наличии).

Интересно то, что Роскомнадзор и иные заинтересованные лица не обязаны информировать работодателя о выявлении ими инцидента.

До 01 марта 2023 Роскомнадзор должен определить порядок и условия взаимодействия с операторами в рамках ведения реестра инцидентов.


5⃣ Ответы на запросы Роскомнадзора
В течение 10 рабочих дней.
Можно направить мотивированное уведомление, если не успеваете. Тогда будет еще 5 рабочих дней в запасе.

❓Нужно о каком-то из документов подробнее?

Относительно ПДн могу рекомендовать курс у кадрового аудитора Марины Векшиной.

Канал Практикум кадровика.

⚡Эксперты Роструда на сайте онлайнинспекция.рф разъяснили, вправе ли работник ознакомиться со штатным расписанием и вправе ли работодатель отказать ему в этом.

Работодатель имеет право не предоставлять сотруднику для ознакомления штатное расписание полностью.
Но он обязан предоставить выписку из штатного расписания, которая касается только должности самого сотрудника


https://xn--80akibcicpdbetz7e2g.xn--p1ai/questions/view/167880

Читательница канала задала вопрос: "Я пришла в компанию недавно, никто не может ответить на вопрос подавалось ли уведомление в Роскомнадзор об обработке персональных данных. Как узнать это? "

Вдруг кому-то ещё будет актуально.

Все операторы, осуществляющие обработку ПДн включены в реестр 👇https://pd.rkn.gov.ru/operators-registry/operators-list/


Если было переименование, то проверьте первоначальное наименование компании. Возможно не подавалось уведомление об изменении данных компании.

⚡ Если у вас в Положении о персональных данных есть подобный пункт:
"При изменении персональных данных работник письменно уведомляет работодателя о таких изменениях в разумный срок, не превышающий 14 дней, и предъявляет оригиналы документов".

нужно его убрать из Положения о персональных данных и включить, например, в Правила внутреннего трудового распорядка.

Добавила

В ЛНА по персональным данным нельзя включать:
✔ положений, которые ограничивают права сотрудников
✔ полномочия и обязанности, которых нет в законах.

⚡ Недавно готовила консультацию по статусу одинокой матери

Возник вопрос можно ли признать сотрудницу одинокой матерью если в свидетельстве о рождении ребенка указан отец.

Ссылку на свой пост про тодинокую мать оставляю 👇
https://t.me/wow_tkrf/188

А сегодня свежая судебная практика по данному вопросу

📝 Определение 1-го КСОЮ от 27.06.2022 N 88-14515/2022

Работодатель перед сокращением запросил сведения о сотруднице в органах соцзащиты.
Соцзащита ответила, что женщина не является одинокой матерью.

На основании данного ответа работодатель уволил сотрудницу.

Сотрудница обратилась в суд.
Первая инстанция не увидела нарушений.

Апелляция и кассация признали увольнение незаконным.
Их доводы: да, у сотрудницы не было статуса одинокой матери, но ее могли приравнять к данной категории.
Она одна воспитывала ребенка, находилась в разводе и не получала алиментов.

В результате сотрудницу восстановили .

⚡Об ошибках в заполнении уведомления в Роскомнадзор.

Что главное?

📍Перед заполнением уведомления:
✔ установите категории физических лиц, сведения о которых вы собираете.
✔ установите точный перечень ПДн, которые вы собираете в рамках каждой категории физических лиц.
✔ определите цели использования ПДн по каждой категории.
✔ установите, есть ли передача ПДн за границу применительно к каждой категории.

❗А теперь возможные ошибки.

✔ Наименования организации не соответствует указанному на бланке и (или) печати, сведениям в ЕГРЮЛ.
Часто забывают про филиалы.

✔ По 3 пункту нужно указать все категории обрабатываемых ПДн, вплоть до времени входа/ухода посетителя и работника. Перечень доожен быть полный и исчерпывающий, сокращения (и т.д. и др.) недопустимы.
Начинаете с перечисления ПДн, заполняемые в форме Т2, затем добавлярик остальные, обрабатываемые в организации в рамках иных видов деятельности.

✔ По 4 пункту часто не указывают такие категории как уволенные работники и родственники работников.
А данные обрабатывают.

✔ по 5 пункту указывается неполный перечнь правовых оснований обработки ПДн. Часто не указывают в перечне правовых оснований согласие на обработку ПДн и договор, заключаемый с субъектом ПДн.
Под правовым основанием понимаются законы с сылками на статью, дату принятия и номер, локальные акты (здесь нужно указать внутреннее положение об обработке в компании, инструкции, приказы) и иные документы, в соответствии с которыми вы действуете.
Не рекомендуется указывать 152-ФЗ — это одна из ошибок, на которую указывает в разъяснениях Роскомнадзор.
Примеры:
Устав ООО от _ №, Положение об от № , лицензия на _ от № _, Положение об обработке персональных данных ООО (ИП, физ. Лицо) _ от _ № ___,

✔ по пункту 7.1 иногда не указывают почтовый адрес ответственных за организацию обработки ПДн

✔ в перечне действий с ПДн обычно указывают все действия, перечисленные в статье 3 152 Федерального закона, в том числе обезличивание.
По последней позиции Роскомнадзора, так как в Методические рекомендации по обезличиванию разработаны только для государственных органов, коммерческие организации не вправе осуществлять такое действие с ПДн.

✔ Сведения о целях, для достижения которых ведётся обработка, рекомендуется привести в отношении каждой категории субъектов отдельно. Для начала проверьте, есть ли у вас сведения о:
- работниках;
- заказчиках;
- посетителях сайта;
- соискателях.
Сведения о соискателях не могут быть использованы в тех же целях, что сведения о заказчиках, и наоборот.
Если указать цели для всех категорий одной строкой, это будет нарушением.

✔ При описании предусмотренных Федеральным законом мер следует перечислить полный список. Важно не только заявлять декларативно о применении мер, но и действительно внедрять их в компании.

✔ В пункте о средствах безопасности нужно указать меры, которые позволяют следить за сохранностью ПДн — это могут быть меры как технического, так и организационного характера.
В каждой организации в зависимости от вероятности утечек и иных факторов используются свои способы обеспечения информационной безопасности.

✔ для правильного заполнения поля «Сведения об обеспечении безопасности» нужно установить, какие угрозы актуальны для вашей компании. Уровень защищенности можно определить, исходя из:
- типов угроз (1, 2 или 3 типа);
- категорий ПДн (специальные, биометрические, общедоступные, иные);
- количества субъектов ПДн (менее 100000, более 100000).
Для каждого уровня из четырех отдельные требования к безопасности.
Нужный уровень защищенности ПДн поможет определить калькулятор (раздел "определить уровень защищенности")
👇
https://selectel.ru/solutions/pdps/?utm_source=blog.selectel.ru&utm_medium=innerreferral&utm_campaign=Brand_Brand_Article_270521_RKN
Для правильного определения уровня рекомендуется привлекать специалистов по информационной безопасности.

✔ пункт "дата окончания обработки" определить затруднительно. Лучше указать условия, при которых больше не будут обрабатывать сведени, например, ликвидация компании.

✔ в пункте сведения об информационных системах (ИС) каждую категорию физических лиц нужно указать отдельно. Например, сначала вы заполняете перечень действий, категории и иные сведения об обработке ПДн клиентов.
Если вы также обрабатываете сведения о других субъектах, добавляете новую ИС и заполнянте раздел для новой категории субъектов ПДн.
Делается это в связи с тем, что недопустимо объединение баз ПДн, обрабатываемых в разных целях.

✔ Важно верно указать адреса ЦОДов, в которых размещены ИС со сведениями о субъектах. До передачи информации в ЦОД или облако необходимо заключить договор-поручение на обработку ПДн с ЦОДом или облачным провайдером.

✔ Если используется электронная цифровая подпись (ЭЦП), необходимо заполнить раздел «использование шифровальных (криптографических) средств», где обязательно указать наименование, регистрационные номера и производителей используемых криптографических средств (ЭЦП), а также сведения об уровнях защиты.

Ещё подробно об ошибках можно почитать 👇

https://pandia.ru/text/79/300/15995.php

https://32.rkn.gov.ru/personal-data/p13325/

https://selectel.ru/blog/rkn-152-fz

Ещё раз даю ссылку на рекомендации
https://legalacts-ru.turbopages.org/legalacts.ru/s/doc/rekomendatsii-po-zapolneniiu-formy-uvedomlenija-ob-obrabotke/

⚡В перечне уважительных причин отсутствия на работе прибыло

📝 Определение 6-го КСОЮ от 21.07.2022 N 88-15373/2022

✔ Сотрудник собирался в отпуск за границу. Туроператор перенес вылет с субботы на пятницу. Сотрудник согласовал с руководителем отгул на этот день, а вернувшись из отпуска был уволен за прогул.

Сотрудник обратился в суд с иском о незаконном увольнении.
И все три судебные инстанции пришли к мнению, что изменение даты вылета в данном случае — уважительная причина невыхода на работу.
Ещё один аргумент в пользу сотрудника то, что он предупредил руководство о сложившейся ситуации и не использовал отгул самовольно.

Сотрудник был восстановлен.

⚡Новая неоднозначная инициатива от партии ЛДПР.

В Госдуму внесён законопроект № 183346-8, который предлагает ввести ежемесячную выплату для неработающих граждан, которые заняты ведением домашнего хозяйства.

Под ведением домашнего хозяйства понимается:

- работа по дому: приготовление завтраков, обедов и ужинов, стирка, глажение, шитье, вязание, уход за одеждой, обувью, уборка квартиры, покупка продуктов и прочих товаров для дома;

- уход за детьми, детьми-инвалидами, инвалидами с детства I группы, за престарелыми родителями, нуждающимися в постоянном постороннем уходе.

Размер пособия предлагается установить на уровне прожиточного минимума для трудоспособного человека в соответствующем регионе.

Платить пособие планируется тем, у кого размер среднедушевого дохода семьи не превышает двукратную величину прожиточного минимума трудоспособного населения в соответствующем субъекте РФ.

https://sozd.duma.gov.ru/bill/183346-8

❓За какой период сотрудник, временно исполняющий обязанности генерального директора, должен предупредить об увольнении по собственному желанию?

✅ Нормы ТК РФ не содержат положений, согласно которым сотрудник, временно исполняющий обязанности руководителя организации, приобретает статус руководителя организации.

Ели сотрудник, временно исполняющий обязанности руководителя организации, решил уволиться по собственному желанию в этот период, то при отсутствии специальных оснований, предусмотренных статьей 80 ТК РФ, он должен предупредить об этом работодателя в письменной форме не позднее чем за две недели.

Нормы статьи 280 ТК РФ о предупреждении не позднее чем за один месяц на такого сотрудника не распространяются.

❓Существуют ли минимальные и максимальные сроки поручения дополнительной работы в порядке СОВМЕЩЕНИЯ?

✅ В соответствии с частью 3 статьи 60.2 ТК РФ сотрудник и работодатель должны договориться о сроке, в течение которого сотрудник будет выполнять доп работу.

В ТК РФ не содержится нормы о минимальных и максимальных сроках, на которые может быть оформлено совмещение. При этом совмещение всегда может быть досрочно прекращено в одностороннем порядке по инициативе любой из сторон.

Учитывая, что совмещение носит временный характер, установление совмещения без ограничения срока, противоречит ТК РФ.

Срок действия соглашения о совмещении может оканчиваться:
✔ конкретной календарной датой
✔ указанием на определенное событие, при наступлении которого срок действия соглашения завершится.
Например, при выполнении обязанностей по вакантной должности в качестве события можно указать приём сотрудника на должность, по которой оформлено совмещение.

⚡Работодатель в соответствии с частью 2 статьи 93 ТК РФ обязан устанавливать неполное рабочее время по просьбе одного из родителей (опекуна, попечителя), имеющего ребенка в возрасте до четырнадцати лет (ребенка-инвалида в возрасте до восемнадцати лет).

Установление режима неполного рабочего времени - право сотрудника, имеющего ребенка в возрасте до 14 лет, даже в случае изменения организационных или технологических условий труда у работодателя.

Нормами действующего законодательства не установлено минимальное количество часов, которое можно установить для работы в режиме неполного рабочего времени для женщины, имеющей ребенка в возрасте до 14 лет.

Срок установления неполного рабочего времени зависит от желания сотрудника, но должен быть в пределах периода, пока он сохраняет право на льготу. Например, если сотрудник просит неполное время в связи с тем, что у него ребенок, то такой режим устанавливается до 14-летия ребенка.

А может ли работодатель ограничить сотрудника в выборе времени начала и окончания рабочего дня, его продолжительности, рабочих дней и т. д?
Исходя из судебной практики да. Нужно лишь обосновать, что что график работы, запрошенный сотрудником не соответствует условиям производства.
Ну и вместе с сотрудником выбрать график, который устроит обе стороны.

❗ Не ограничивайте право сотрудников подать заявление об изменении режима работы.
(апелляционное определение Московского городского суда от 22.05.2018 № 33-17774/2018).
Не стоит прописывать в локальных актах подобные обязанности: "Сотрудники обязаны подавать заявления об изменении режима работы за пять рабочих дней".
Такой пункт в локалке будет являться нарушением трудового законодательства.

Ну и главное, прежде чем предоставить режим неполной рабочей недели запросите справку с места работы второго родителя о графике его работы.

Проект изменений в статью 332 ТК РФ:

часть вторую дополнить:
"СРОК ИЗБРАНИЯ на замещение должности педагогического работника, относящегося к профессорско-преподавательскому составу, определяется коллегиальным органом управления организации, осуществляющей образовательную деятельность по реализации образовательных программ высшего образования и дополнительных профессиональных программ,
‎в соответствии с локальными нормативными актами и составляет НЕ МЕНЕЕ ТРЕХ ЛЕТ И НЕ БОЛЕЕ ПЯТИ ЛЕТ.";


#новоститрудовогоправа

⚡ На правовом портале regulation.gov.ru
появился проект приказа "Об утверждении требований к подтверждению уничтожения персональных данных".

В качестве документов, подтверждающих уничтожение персональных данных субъектов персональных данных, обрабатываемых оператором предлагаются:

✔ акт об уничтожении персональных данных
✔ при автоматической обработке и (или) лог-файл, соответствующий требованиям, установленным пунктом 2.2 Требований.

Роскомнадзор внёс проект приказа

"Об утверждении форм уведомлений о намерении осуществлять обработку персональных данных, о внесении изменений в ранее представленные сведения, о прекращении обработки персональных данных"


Честно, даже не смотрела в чем разница между действующей формой и той, что в проекте. И есть ли вообще разница.

⚡Продолжаем про ПДн

Сегодня про локальные нормативные акты.

✅ Изменились требования к структуре Положения о персональных данных.

Определена структура, которой должно соответствовать Положение (ст. 18.1 закона 152-ФЗ).
Для КАЖДОЙ ЦЕЛИ обработки нужно определить:
— категории и перечень данных;
— категории субъектов персональных данных;
— способы и сроки обработки и хранения данных;
— порядок уничтожения.
Попросили в комментариях об этом подробнее.
Попробую, но уже отдельным постом.

✅ В ЛНА по персональным данным нельзя включать:
✔ положений, которые ограничивают права сотрудников
✔ полномочия и обязанности, которых нет в законах.

В Положении о персональеых данных нельзя закрепить обязанность сотрудника приносить вам новый паспорт и другие документы.

Такой пункт стоит перенести в другие ЛНА, например, в Правила внутреннего трудового распорядка.

❗По новым правилам необходимо разместить политику конфиденциальности на каждой странице сайта, на которой осуществляется сбор персональных
данных. (ст. 1 п. 10. пп б).

✅ Новый ОБЯЗАТЕЛЬНЫЙ документ - Положение о защите персональных данных ст. 18.1 Закона.
В нем следует определить, какая категория риска у каждого документа или электронного носителя персональных данных и есть ли угрозы того, что информацию получат те, у кого доступа к данным не должно быть.

Юристы рекомендуют прописать в Положение о защите все меры защиты в зависимости от уровней защищенности.

Необходимо разработать локальную процедуру выявления, установления, нейтрализации и уведомления в отношении инцидентов неправомерного раскрытия персональных данных.

Особое внимание следует уделить выявлению и мониторингу инцидентов в СМИ, интернет-ресурсах и иных открытых источниках.
В одном источнике прочитала рекомендацию: "организовать программу по «охоте» за такого рода сведениями с привлечением всех заинтересованных лиц путем выплаты вознаграждения за предоставление достоверных сведений о таких инцидентах"

Необходимо будет также разработать локальную процедуру взаимодействия с ГосСОПКА после утверждения ФСБ соответствующего правового акта.

В локальные акты если персональные данные передаются обработчикам следует внести пункты о порядке взаимодействия с ними в части:
✔ предоставления документов и сведений, подтверждающих принятие обработчиками мер и соблюдение ими требований ст. 6 Закона № 152-ФЗ в целях исполнения поручения оператора,
✔уведомления оператора об «утечке» персональных данных;
✔проверить указание в поручении переченя персональных данных.
✔ провести анализ и при необходимости скорректировать в локальных актах практику обработки запросов субъектов персональных данных о получении информации, в том числе в части соответствия новым (сокращенным) срокам реагирования на запросы
✔ включить в локальные акты пункты о порядке получения и документирования от органов иностранного государства, иностранных физлиц или юрлиц, которым планируется трансграничная передача ПД, сведений, предусмотренных ч. 5 ст. 12 Закона № 152-ФЗ.
Это сведения:
- о мерах по защите передаваемых персональных данных и об условиях прекращения их обработки,
- о правовом регулировании в области персональных данных иностранного государства (в случае если страна не являюется стороной Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и не включена в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов ПД);
- об иностранных лицах, которым планируется трансграничная передача ПД (наименование либо ФИО, а также номера контактных телефонов, почтовые адреса и адреса электронной почты);
✔ внести в локальные акты пункты о проведении работодателем оценки соблюдения иностранными лицами, которым планируется трансграничная передача, конфиденциальности персональных данных и обеспечения безопасности при их обработке;
✔ провести анализ и доработать типовые формы договоров об обработке персональных данных и закрепить в них механизм уничтожения персональных данных зарубежными получателями в случае принятия Роскомнадзором соответствующего решения.

С 1 сентября 2022 информационные системы электронного кадрового документооборота работодателей смогут взаимодействовать с Госуслугами.

Можно будет, в том числе, размещать кадровые документы в личных кабинетах сотрудников на Госуслугах.

📝 Постановление Правительства РФ от 01.07.2022 N 1192

⚡ С 01 сентября 2022 оформлять документы при расследовании несчастных случаев на производстве необходимо с учетом их классификаторов. Происшествия разделили по видам, например: физические перегрузки или воздействие электрического тока либо вредных веществ.

Обновили и формы документов для расследования несчастных случаев и положение о его особенностях в отдельных отраслях и организациях

📝 Приказ Минтруда России от 20.04.2022 N 223н

Текст приказа здесь 👇
https://base.garant.ru/404778833/

⚡Минцифры планирует пересмотреть порядок наказания за слив личных данных.

Планируется ввести два вида штрафов:
✔от объема слитой информации
✔ оборотный

✅ При первичной утечке предлагается штрафовать в фиксированной сумме. Сумму предполагается устанавливать от объема незаконно обнародованных данных.
Минцифры сейчас в процессе разработки порядка такого расчета.

✅ При повторной утечке на компанию предлагается налагать оборотный штраф - взыскание в виде процента от выручки.

Планируется также разработать перечни смягчающих и отягчающих обстоятельств. Например, смягчающим обстоятельством признают попытки компании предотвратить утечку, а отягчающим — попытку ее скрыть.

К середине сентября минестерство минИстерство готовится представить законопроект на рассмотрение Госдумы.

P/S благодарю читателя канала за внимательное чтение.