Положение об обработке персональных данных работников утверждается и вводится в действие приказом руководителя организации и является обязательным для исполнения всеми работниками. Работник должен быть ознакомлен с ним под роспись.
Обработка персональных данных работника может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества (п. 1 ст. 86 ТК РФ).
Получение персональных данных должно осуществляться в установленном законом порядке. По общему правилу все персональные данные следует получать у самого работника. Если персональные данные можно получить только у третьей стороны, то необходимо уведомить работника о намерении получить персональные данные у третьей стороны и получить его письменное согласие на это.
Порядок хранения и использования персональных данных работников согласно ст. 87 ТК РФ работодатель вправе установить самостоятельно.
Право доступа к персональным данным имеют:
руководитель организации, работодатель – индивидуальный предприниматель;
непосредственный руководитель работника;
начальник отдела кадров;
сотрудники отдела кадров.
При работе с документами, содержащими персональные данные, прежде всего работниками отдела кадров, должен соблюдаться принцип конфиденциальности персональных данных.
При передаче персональных данных работника третьей стороне работодатель должен соблюдать требования ст. 88 ТК РФ.
Информация, относящаяся к персональным данным работника, может быть предоставлена государственным органам (милиции и другим контролирующим органам). В этом случае основанием для передачи персональных данных работника является письменный запрос от должностного лица соответствующего государственного органа, а если представители контролирующих органов пришли к вам лично – служебное удостоверение и приказ, где указаны цели сбора подобной информации.
Работодатель обязан обеспечить такой порядок хранения персональных данных, который бы ограничивал несанкционированный доступ к ним.
Персональные данные работников могут также храниться в электронном виде в локальной компьютерной сети. В таком случае доступ к персональным данным работников должен быть технически возможен только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные работника, которые необходимы им для выполнения конкретных функций. Все документы по личному составу должны обязательно сдаваться в архив.