Врегулювання обробки персональних даних: необхідні документи та процедури

У вашому випадку доцільно змінити Порядок так, щоб обробка даних працівників ґрунтувалася на законі й трудових договорах без загальної вимоги письмової згоди, передбачити письмові зобов’язання про нерозголошення для працівників з доступом до даних, а згоду інших фізосіб (ФОПів, клієнтів) вимагати лише тоді, коли обробка/передача їхніх даних не випливає із закону чи договору; окремий локальний акт бажаний, але форма (Порядок, Положення чи інший документ) не є жорстко встановленою.

Обґрунтування

1. Як скоригувати Порядок щодо письмової згоди працівників.
   Закон визначає, що володілець персональних даних сам встановлює мету обробки, склад даних та процедури їх обробки, а згода суб’єкта є лише однією з підстав для обробки, поряд із виконанням обов’язку, передбаченого законом, виконанням правочину та захистом законних інтересів (ст. 2, ст. 11 Закону № 2297-17).
   У трудових відносинах обробка даних працівника потрібна для виконання вимог КЗпП, інших законів і самого трудового договору, тому право особи на працю не може залежати від підписання окремої згоди. У Порядку варто:

   • вилучити норму про обов’язкове подання загальної письмової згоди при прийнятті на роботу;
   • прописати, що обробка персональних даних працівників здійснюється на підставі закону і трудового договору, без примусу до окремої згоди;
   • залишити або ввести норму про письмове інформування працівника щодо мети обробки, його прав, категорій одержувачів (повідомлення про права суб’єкта даних, як у додатку 4 до Порядку НКРЕКП, відповідає вимогам Закону).

2. Чи потрібно окреме письмове зобов’язання про нерозголошення для працівників з доступом до даних.
   Закон вимагає, щоб особи, які отримали доступ до персональних даних, не допускали їх незаконного розголошення та дотримувалися вимог щодо захисту даних (зокрема, таке зобов’язання прямо пов’язується зі ст. 10 Закону № 2297-17 у примірному «Зобов’язанні про нерозголошення» з додатка 2 до Порядку НКРЕКП).
   Практично доцільно, щоб усі працівники, які мають або можуть мати доступ до персональних даних (кадри, бухгалтерія, ІТ, керівники, інші користувачі баз даних), підписували окреме письмове зобов’язання про нерозголошення, а факт підписання фіксувався в журналі реєстрації, як це зроблено в додатку 3 до згаданого Порядку.

3. Чи потрібні окремі заяви-згоди від ФОПів/їх представників і від споживачів/клієнтів.
   Закон визначає зг

Можу пошукати матеріали на цю тему — цікаво?