Ошибки именно на этапе хранения чаще всего становятся причиной штрафов, даже если сбор и использование данных формально организованы корректно. Работодатель обязан обеспечить такие условия хранения персональных данных работников, при которых исключается несанкционированный доступ, утрата, искажение и использование данных не по назначению.
На практике Роскомнадзор оценивает не только факт наличия сейфов, серверов или паролей, но и наличие выстроенной системы: регламентов, ограничений доступа, сроков хранения и документально оформленного порядка уничтожения данных. Именно отсутствие этой системы, а не конкретный носитель информации, чаще всего признаётся нарушением.
Какие требования закон предъявляет к хранению ПДн работников
Хранение персональных данных — это часть обработки ПДн, и к нему применяются все принципы и требования 152-ФЗ, а не только «технические» меры защиты.
Принцип законности и целевого хранения
Персональные данные работников должны храниться:
-
только для конкретных, законных целей;
-
исключительно в объёме, необходимом для этих целей;
-
без возможности использования для иных задач.
Хранение данных «на всякий случай» или «вдруг пригодится» прямо противоречит требованиям закона.
Сроки хранения персональных данных
Закон требует, чтобы персональные данные хранились:
-
не дольше, чем это необходимо для целей обработки;
-
с учетом требований трудового, налогового и архивного законодательства.
По истечении сроков данные подлежат уничтожению или обезличиванию.
Ограничение доступа
Работодатель обязан обеспечить:
-
доступ к персональным данным только тем сотрудникам, которым он необходим по должностным обязанностям;
-
документальное закрепление такого доступа;
-
контроль за использованием данных.
Свободный доступ к кадровым данным — самостоятельное нарушение.
Обеспечение конфиденциальности и безопасности
Персональные данные должны храниться таким образом, чтобы:
-
исключалась их утрата;
-
предотвращался несанкционированный доступ;
-
обеспечивалась защита от копирования, изменения и распространения.
Отсутствие доказуемых мер защиты приравнивается к отсутствию защиты.
Где можно хранить персональные данные сотрудников
Требования к защите персональных данных одинаковы независимо от формы хранения — бумажной или электронной. Ошибочно считать, что закон распространяется только на электронные базы.
Бумажные архивы
Кадровые документы на бумажных носителях должны храниться:
-
в помещениях с ограниченным доступом;
-
в шкафах или сейфах, исключающих свободный доступ;
-
с разделением по категориям и срокам хранения.
Доступ к архиву должен быть предоставлен только уполномоченным лицам, что должно быть закреплено документально.
Электронные базы данных
Персональные данные сотрудников в электронном виде могут храниться:
-
в локальных кадровых системах;
-
на корпоративных серверах;
-
в специализированных HR-системах.
При этом должны быть обеспечены:
-
индивидуальные логины и пароли;
-
разграничение прав доступа;
-
резервное копирование;
-
защита от несанкционированного доступа.
Облачные сервисы и внешние системы
Допускается хранение персональных данных работников в облачных сервисах и внешних ИТ-системах, если:
-
с провайдером заключен договор, содержащий условия обработки ПДн;
-
обеспечен необходимый уровень защиты информации;
-
данные размещаются на законных основаниях.
Передача данных в облако без договорного и документального оформления является нарушением.
Как организовать доступ к кадровым данным
Большинство нарушений в сфере хранения персональных данных связано не с самими архивами или базами, а с неконтролируемым доступом к ним.
Правильно организованный доступ — ключевой элемент защиты ПДн работников.
Принцип «необходимого доступа»
Доступ к персональным данным должны иметь только те сотрудники, которым он необходим для выполнения служебных обязанностей, например:
-
кадровая служба;
-
бухгалтерия;
-
руководство (в установленном объёме).
Предоставление доступа «на всякий случай» или «чтобы было удобно» нарушает требования закона.
Разграничение прав доступа
Необходимо обеспечить:
-
разные уровни доступа для разных категорий сотрудников;
-
ограничения по видам операций (просмотр, изменение, удаление);
-
фиксацию прав доступа в документах и ИТ-системах.
Учет и контроль доступа
Работодатель обязан иметь возможность подтвердить:
-
кто имеет доступ к данным;
-
когда и в каком объеме осуществляется обращение к ним.
Для этого используются:
-
журналы учета доступа;
-
автоматизированные логи;
-
приказы о допуске к обработке ПДн.
Ответственность сотрудников
Все сотрудники, допущенные к персональным данным работников, должны быть:
-
ознакомлены с требованиями по защите ПДн;
-
подписать обязательства о неразглашении;
-
проинструктированы о мерах ответственности за нарушения.
Как выстроить систему хранения без риска штрафов
Надёжная система хранения персональных данных работников — это не только сейфы и пароли, а совокупность документов, процессов и контроля.
Разработать и утвердить регламенты
В организации должны быть оформлены:
-
порядок хранения персональных данных работников;
-
правила доступа к кадровым данным;
-
порядок уничтожения и обезличивания;
-
ответственность за нарушения.
Без этих документов невозможно доказать, что требования закона выполняются системно.
Обучить сотрудников
Все сотрудники, имеющие доступ к персональным данным работников, должны:
-
быть ознакомлены с регламентами;
-
понимать свою ответственность;
-
знать порядок действий при инцидентах.
Формальное ознакомление без реального понимания не снижает риски ответственности.
Организовать техническую защиту
Технические меры должны включать:
-
защиту помещений и архивов;
-
разграничение доступа в ИТ-системах;
-
резервное копирование;
-
защиту от вирусов и утечек.
Проводить регулярный контроль
Работодатель обязан:
-
проверять соблюдение регламентов;
-
выявлять и устранять нарушения;
-
актуализировать документы при изменениях в процессах.
Для выстраивания такой системы разрабатывают организационно-распорядительную документацию по защите персональных данных.
На практике
На практике большинство нарушений выявляется именно на этапе хранения персональных данных сотрудников, поскольку:
-
данные обрабатываются постоянно;
-
участвует большое количество сотрудников;
-
используются разные носители и системы.
Формальное наличие сейфов и паролей не защищает от ответственности. Защищает только выстроенная система хранения ПДн, где документы, процессы и контроль работают в комплексе.
