Персональные данные как составная часть конфиденциальной информации

Федеральное государственное бюджетное образовательное учреждение высшего  профессионального образования “Саратовский государственный технический университет имени Гагарина Ю.А.”

Курсовая работа

На тему

Персональные данные как составная часть конфиденциальной информации

                                      Работу выполнила

                                       Студентка 3 курса

                                        СГФ  бДокм-31

                                       Беляева Крестина

                                            г.Саратов 2014г.

Оглавление

Введение

В XXI веке у человечества появляется множество новых объектов, нуждающихся в защите путем закрепления соответствующих норм в законе. Информация на сегодняшний день является основным объектом. На данный момент времени общество зависит от получаемых, обрабатываемых и передаваемых данных. По этой причине данные сами по себе приобретают высокую ценность. И чем больше цена полезной информации, тем выше ее сохранность.

В виду всего вышесказанного, закoнодательными актами как в России, так и зарубежных странах предусматривают большое количество норм, которые направлены на регулирование создания, пользования, передачи и защиты информации во всех ее формах.

Информация несущая в себе данные о личной, индивидуальной или семейной жизни человека обладает особой ценностью. Ст.2 Конституции Российской Федерации закрепляет основной принцип современного демократического общества: «Человек, его права и свободы являются высшей ценностью»1. Соответственно и информация, затрагивающая непосредственно частные интересы человека должны уважаться и защищаться государством.

В повседневной жизни человека сохранность информации касающаяся его жизни зависит от него самого. Но совсем другая ситуация, когда мы обязаны предоставить данные о себе в соответствии с законом третьему лицу, а конкретно – работодателю. Работник в данной ситуации передает конфиденциальную информацию о себе на ответственное хранение. Далее за сохранность данных отвечает уже работодатель. Он обязан оберегать сведения о работнике от посягательств третьих лиц и нести ответственность за распространение указанных данных.

Цель моей работы заключается в выяснении персональных данных как составной части конфиденциальной информации.

Глава 1. Персональные данные

В соответствии с Федеральным законом «О персональных данных»: «Персональные данные - это любая информация, относящаяся к определенному или определенному на основании такой информации физическому лицу, в том  числе  его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация»2

Указанный Федеральный закон установил критерии законности действий, связанных с обработкой персональных данных, а также пределы ограничения прав физических лиц - субъектов  персональных данных  в связи с  обеспечение общественных интересов, безопасности государства и общества.

Следует отметить что действие этого закона не распространяется на отношения, возникающие при организации хранения, комплектования учета и использования  содержащих персональные данные документов Архивного Фонда  Российской Федерации  и других  архивных  документов, а также  при обработке персональных данных, отнесенных к сведениям, составляющим государственную тайну.

Существуют специальные категории персональных данных, касающиеся расовой, национальной  принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья,  интимной жизни.

Биометрические персональные данные – это сведения, характеризующие физиологические  особенности человека, на основе на основе которых  можно установить  его личность, например дактилоскопические данные (отпечатки пальцев), информация полученная на полиграфе. Биометрические персональные данные, за некоторым исключением, могут обрабатываться только при наличие согласия в письменной форме от физического лица.

Технологии обработки персональных данных.

Обработка персональных данных – это действие с ними, включая сбор, систематизацию, накопление, хранение, уточнение, использование, распространение, обезличивание, блокирование, и их уничтожение.

Использование персональных данных – это действия с ними, совершаемые  оператором в целях  принятия решения, или иные  действия порождающие  юридические  последствия  в отношении субъекта  персональных данных  или других  лиц либо иным образом затрагивающие  права и свободы  этого  субъекта  или других физических лиц.

Распространение персональных данных – это действие, направленные на их передачу определенному круг лиц, в том числе обнародование персональных данных в средствах  массовой информации, размещение  в информационно-телекоммуникационных сетях или предоставление доступа к ним каким-либо иным способом.

Обезличивание персональных данных - действия, в результате которых невозможно определить их принадлежность конкретному физическому лицу.

Блокирование персональных данных – временное прекращение их сбора, систематизации, накопление, использование, распространения, в том числе их передачи.

Уничтожение персональных данных - действие, в результате которых либо невозможно восстановить  их содержание в АИС, либо уничтожаются материальные  носители персональных данных.

Организация обработки персональных  данных осуществляется оператором. Помимо организации и непосредственно  обработки  персональных данных, операторы определяют цели и содержание обработки. Оператор- это государственный орган, муниципальный орган, юридическое лицо, организующее и осуществляющее обработку данных , а также  определяющие цели и содержания их обработки.

Не допускается обработка персональных данных, избыточных по отношению к целям, заявленным при их сборе, а также объединение созданных для несовместимых между собой целей баз АИС.

Обработка персональных данных  может осуществляться оператором только с согласия  субъектов персональных данных. Однако в отдельных случаях  согласия субъекта на обработку не требуется, например при обработке кадровой документации в организации, где работает этот субъект.

Хранение персональных данных должно осуществляться в форме, позволяющей определить физическое лицо, не дольше чем этого требуют цели обработки этих данных.По достижению целей обработки или в случае утраты необходимости  достижении  этих целей последнее подлежит уничтожению.

Обработка персональных данных должна осуществляться при следующих условиях.

Первое условие: оператор может выполнять ее только с согласия субъектов персональных данных, за исключением случаев, когда обработка осуществляется:

• в целях исполнения договора, одной из сторон которого является субъект персональных данных ( например трудового договора или служебного контракта-для государственных служащих);
• Для статистических или иных научных целей при условии обязательного их обезличивания- действия, в результате которых невозможно определить их принадлежность к конкретному субъекту персональных данных;
• Для защиты  жизни, здоровья или иных жизненного важных интересов субъекта персональных данных, при невозможности получения согласия.
• Для доставки почтовых отделений  организациями  почтовой связи, для осуществления операторами электросвязи расчетов с пользователями  за оказанные услуги связи;
• В целях профессиональной  деятельности  журналиста  либо в целях научной, литературной или иной творческой деятельности при условии, что при этом  не нарушаются права и свободы  субъекта  персональных данных;
• В целях опубликования  в соответствии  с законодательством о государственной службе, в том числе персональных данных о замещении  государственных должностей, или должности государственной гражданской службе, в том числе персональных данных о замещающих государственные  должности, или должности государственной гражданской службы. А также о кандидатах на выборные  государственные и муниципальные должности.

Второе условие: если оператор на основании договора поручает обработку персональных данных другому лицу, существенным  условием  договора является обязанность  обеспечения указанными лицом  конфиденциальности этих данных и безопасности  при их обработке.

Конфиденциальность персональных данных.

Операторы, обеспечивающие обработку персональных данных, и третьи лица, получающие доступ к персональным данным, обязаны соблюдать их конфиденциальность, за исключением случаев:

• Обезличивание персональных данных - действий, в результате которых становится невозможным определение принадлежности персональных данных конкретному физическому лицу;
• Использование общедоступных персональных данных, доступ к которым определен неограниченным кругом лиц и предоставлен с согласия  субъекта персональных данных или на которые в соответствии с федеральными законами не распространяются требования соблюдения конфиденциальности.

Общедоступными источниками персональных данных являются также источники, созданные в целях информационного обеспечения например справочники, адресные книги. В них, с письменного согласия субъекта персональных данных, могут быть указанны его фамилия, имя, отчество, год место рождения адрес, абоненский номер, и иная предоставленная им информация. В любое время эти сведения время эти сведения могут быть исключены из общедоступных источников персональных данных по требованию физического лица либо по решению суда или иных уполномоченных государственных органов.

Конфиденциальность персональных данных- это обязательное для соблюдения  операторами или иным получившим доступ к ним лицом требование не допускать их распрастранения без согласия физического лица или наличия иного законного основания. В случае, если оператор на основании договора  поручает обработку персональных данных другому лицу, существенным требованием договора является обязанность обеспечения указанным лицом  регламентированного доступа к персональным данным, их конфиденциальности и защите при обработке.

Федеральным законом «О персональных данных» установлен запрет на обработку персональных данных в целях продвижения товаров, работ, услуг на рынке путем установления прямых контактов с потенциальным потребителем  с помощью средств связи, а также в целях политической агитации без получения предварительного согласия физического лица- субъекта персональных данных.

При выявлении неправомерных действий  с персональными данными в обязанности оператора входит устранение допущенных  нарушений в срок, не превышающей трех рабочих дней с даты такового появления. Если нарушения устранить невозможно, то оператор в указанный срок обязан  уничтожить персональные данные. Если цель обработки  персональных данных была достигнута, оператор  обязан незамедлительно прекратить их обработку и уничтожить в срок, не превышающий  трех рабочих дней с дат достижения  цели их обработки.

О своем  намерении  начать обработку данных оператор обязан  уведомлять уполномоченный орган по защите прав  субъектов персональных данных.

В уголовном кодексе Российской Федерации предусмотрена ответственность за незаконное собирание и распространение сведений  о частной жизни лица, составляющих его личную и семейную тайну.(ст.137), тайну переписки, телефонных переговоров  и иных сообщений(ст.138), тайну голосования (ст.142), тайну усыновления(155). Юридические  и физические лица, владеющие информацией о гражданах, получающие и использующие ее, несут ответственность  в соответствии  с законодательством  за нарушение режима защиты, обработки и порядка использования этой информации .3

Меры по обеспечению защиты персональных данных при автоматизированной обработке.

Оператор при обработки данных  обязан принимать  необходимые организационные и технические  меры для  защиты данных от неправомерного  или случайного  доступа к  ним, уничтожения, изменения, блокирования, копирования, распространения,  а также от иных  неправомерных действий.4 

Контроль и надзор  за выполнением в АИС установленных Правительством Российской Федерации требований обеспечения безопасности персональных данных  при обработке осуществляется  федеральным органом исполнительной власти, уполномоченным в области  обеспечения безопасности, и федеральным органом исполнительной власти, уполномоченным  в области  противодействия техническим разведками и технической защиты  информации, - Федеральной службой  по техническому и экспортному контролю.

Правительство Российской Федерации установило требования и меры по защите  и обеспечению безопасности  персональных данных  при обработке  в АИС.5

Понятие персональных данных, их отграничение от другой информации

В Трудовом кодексе впервые появилась специальная глава, посвященная защите персональных данных работника (ст. 85-90). Работодатель всегда собирал данные о личности работника. Для этой цели использовались "Личный листок" и различные анкеты, а также письменные характеристики и т.д. Однако официальная правовая регламентация обработки этих данных, доступная работнику, отсутствовала.

В ст. 85 ТК и последующих статьях настоящей главы применительно к трудовым отношениям получили конкретизацию конституционные положения о праве каждого на неприкосновенность частной жизни, личную и семейную тайну, защиту своей чести и доброго имени.6

В Трудовом кодексе под персональными данными работника понимается информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного работника.7

Легко заметить, что под это определение можно подвести любую информацию о работнике. И работодатели нередко собирают о сотруднике всю информацию, мотивируя это тем, что хотят иметь максимально полное представление о нем.

Довольно часто от работника требуют сообщить  информацию о его семейном положении и ближайших родственниках, о жилищных условиях, состоянии здоровья, о фактах привлечения к уголовной ответственности, о наличии постоянной регистрации по месту жительства и многое другое. Но такого рода информация никаким образом не относится к трудовой деятельности работника. Наоборот, тем самым работодатель переходит тонкую грань, отделяющую персональные данные от сведений, составляющих тайну частной жизни, личную или семейную тайну гражданина.

Среди документов и материалов, содержащих информацию, необходимую работодателю в связи с трудовыми отношениями, основное место занимают:

1) документы, предъявляемые  при заключении трудового договора ( ст. 65 ТК);

2) документы о составе  семьи работника, необходимые для  предоставления ему гарантий, связанных  с выполнением семейных обязанностей;

3) документы о состоянии  здоровья работника, если в соответствии  с законодательством он должен  пройти предварительный и периодические  медицинские осмотры;

4) документы, подтверждающие  право на дополнительные гарантии  и компенсации по определенным  основаниям, предусмотренным законодательством (об инвалидности, донорстве, нахождении  в зоне воздействия радиации  в связи с аварией на Чернобыльской  АЭС и др.);

5) документ о беременности  работницы и возрасте детей  для предоставления матери установленных  законом условий труда, гарантий  и компенсаций.

Среди персональных данных работника должны быть трудовой договор, приказ (распоряжение) о приеме на работу, приказы (распоряжения) об изменении условий трудового договора, его прекращении, а также приказы (распоряжения) о поощрениях и дисциплинарных взысканиях, примененных к работнику. В период действия трудового договора среди персональных данных работника должна находиться его трудовая книжка.8

Для того чтобы установить, в каком объеме работодатель вправе получать от работника информацию о его персональных данных, необходимо обратить внимание на очень важное ограничение - это целевой характер использования персональных данных. Обработка этого вида информации может производиться исключительно в целях, указанных в пункте 1 статьи 86 ТК РФ.9

Работа кадровой службы с персональными данными

В силу специфики своей деятельности обработкой персональных данных в организации занимается отдел кадров. Именно здесь "оседает" весь объем сведений о работниках. Вот почему процессы обработки, передачи и защиты конфиденциальной информации о работниках должны быть упорядочены, прежде всего, в этой службе.

Правила ведения конфиденциального делопроизводства должны применяться в первую очередь в отношении личных дел сотрудников, в которых содержатся персональные данные. Комплектация личных дел является наиболее сложной и ответственной работой, требует особой тщательности и аккуратности при оформлении. Каждое предприятие вправе самостоятельно решать вопрос о том, какие документы включать в состав личных. Работники отдела кадров должны помнить, что личные дела сотрудников должны храниться строго отдельно от всех других документов в закрывающихся шкафах или ящиках. Необходимо иметь в виду также то обстоятельство, что документы, включенные в состав личных дел, имеют разные сроки хранения. Для некоторых из них (приказов, личных карточек) установлены продолжительные сроки хранения и обязательное требование по их передаче в государственные архивы.

Отделу кадров целесообразно вести журнал учета, в который будут заноситься все факты ознакомления с персональными данными работников, а также информация о движении документов, включенных в личные дела, и самих личных дел. В таком журнале должны быть предусмотрены графы о дате выдачи и возврата документов (личных дел), сроке пользования, цели выдачи, наименовании выдаваемых документов (личных дел). В присутствии лица, возвращающего личное дело, обязательно сверяется по описи наличие всех документов. Лица, получающие документы (личные дела) во временное пользование, не имеют права делать в них пометки, исправления, вносить новые записи, извлекать документы из личного дела или помещать в него новые.

Принципиальным требованием правил работы с персональными данными является установление личной ответственности сотрудников за неразглашение доверенной им конфиденциальной информации, за сохранность сведений, а также их носителей. В этой связи лицо, получившее право работать с персональными данными, должно принять на себя ряд обязательств: не разглашать доверенные им сведения, неукоснительно выполнять правила работы с персональными данными, обеспечивать надежное хранение носителей конфиденциальной информации.

Также следует незамедлительно сообщать уполномоченным лицам об утрате ключей, печатей и штампов, давать устные и письменные объяснения по фактам нарушения правил. В число ограничений входят также запреты на совершение определенных действий, могущих повлечь утрату носителей информации или разглашение конфиденциальных сведений, в частности, на передачу персональных данных лицам, не имеющим к ним доступа; на вынос документов из рабочего помещения без служебной необходимости и пр. Перечень указанных обязательств целесообразно отразить в Положении либо должностной инструкции специалиста.

Более того, в соответствии с частью 3 статьи 57 Трудового кодекса условие о неразглашении работником сведений, составляющих охраняемую законом тайну, ставшую ему известной в связи с исполнением своих должностных обязанностей, может быть включено в трудовой договор с таким специалистом. В этом случае на работодателе лежит обязанность ознакомить работника с локальными нормативными актами предприятия, содержащими правила обработки и защиты персональных данных. Именно такая процедура доступа может быть использована в отношении специалистов кадровых служб.

Система защиты конфиденциальных сведений должна предусматривать проведение регулярных проверок наличия документов и других носителей информации, содержащих персональные данные работников, а также соблюдение правил работы с ними.

Как показывает опыт, применение только административных мер не гарантирует полноценную охрану конфиденциальных сведений. Надежность защиты зависит во многом от расстановки и внутрифирменного развития сотрудников. Кроме того, персонал - один из главных каналов утечки информации. Деятельность кадровой службы должна быть направлена на воспитание работников, допущенных к работе с персональными данными, выработку навыков работы с носителями конфиденциальной информации, закрытие бытовых каналов утечки данных. Здесь могут быть полезны индивидуальная беседа, предупреждение об ответственности, разъяснение юридических последствий разглашения информационных дел.

Общие требования при обработке персональных данных работника и гарантии их защиты.

Конфиденциальность, сoхранность и защита персoнальных данных в oтделе кадров обеспечивается отнесением их к служебной тайне. Работа с персональными данными должна быть организована в строгом соответствии с требованиями к обработке и хранению информации ограниченного доступа. Режим конфиденциальности персональных данных снимается в случаях обезличивания их или по истечении 75 – лет срока хранения, если иное не определено законом.

Персональные данные содержатся в документации отдела кадров. Это:

• документы, связанные с подбором персонала;

• документы, сопровождающие процесс оформления трудовых правоотношений гражданина (при решении вопросов о приеме на работу, переводе, увольнении и т.п.);

• материалы анкетирования, тестирования, проведения собеседований с кандидатами на должность;

• трудовые договоры, соглашения, устанавливающие взаимоотношения сторон;

• подлинники и копии приказов по личному составу;

• личные дела и трудовые книжки сотрудников;

• дела, содержащие основания к приказам по личному составу;

• дела, содержащие материалы по повышению квалификации и переподготовке сотрудников, их аттестации, служебным расследованиям и т.п.;

• справочно-информационный банк данных по персоналу - учетно-справочный аппарат (картотеки, журналы, базы данных и др.);

• подлинники и копии отчетных, аналитических и справочных материалов, передаваемых руководству предприятия, руководителям структурных подразделений и служб копии отчетов, направляемых в государственные органы статистики, налоговые инспекции, вышестоящие органы управления, муниципальные и другие учреждения.

• При работе с персональными данными сотрудниками отделов кадров должны соблюдаться следующие основополагающие принципы по их защите:

• личная ответственность руководства предприятия и работников отдела кадров за сохранность и конфиденциальность сведений о работе отдела и персональных данных, а также о носителях этой информации;

• разбиение (дробление) персональных данных между разными руководителями предприятия и работниками отдела кадров;

• наличия четкой разрешительной системы доступа руководства предприятия и работников отдела кадров к документам, содержащим персональные данные;

• проведения регулярных проверок наличия традиционных и электронных документов, дел и баз данных у работников отдела и кадровых документов в подразделениях предприятия.

Главным здесь является четкая регламентация функций работников отдела кадров по разным видам документов, дел, карточек, журналов персонального учета и баз данных. Посторонние лица не должны знать распределение этих функций, рабочие процессы, технологию составления, оформления, ведения и хранения документов, дел и рабочих материалов в отделе кадров. Под посторонними лицами понимаются не только злоумышленники или их сообщники, но и сотрудники предприятия, функциональные обязанности которых не связаны с работой отдела кадров. Следует также учитывать, что работник отдела кадров не должен быть осведомлен о порядке работы других сотрудников отдела.

Для этого первый руководитель предприятия должен издать приказ о закреплении за работниками отдела кадров определенных массивов документов, необходимого для информационного обеспечения функций, указанных в должностных инструкциях. Должна также быть схема доступа работников отдела кадров и руководящего состава предприятия, структурных подразделений к документам отдела, введена личная ответственность указанных должностных лиц и работников за сохранность и конфиденциальность персональных данных.

Не допускается, чтобы работник отдела кадров мог знакомиться с любыми документами и материалами отдела. Целесообразно, чтобы каждый из них был закреплен за определенной группой персонала предприятия и выполнял весь объем функций от подбора кандидата на вакантную должность до хранения документации.

В случае необходимости перераспределения обязанностей среди работников отдела (например, при болезни одного из них) издается соответствующее распоряжение начальника отдела кадров, в котором регламентируется характер изменений, их срок и дополнения к документам, делам и базам данных.

Следует соблюдать следующие особенности обработки и хранения документов.

Приказы по личному составу составляются, оформляются и хранятся в отделе кадров, а не в делопроизводственной службе.

Операции по оформлению, формированию, ведению и хранению личных дел выполняются одним работником отдела кадров, который несет личную ответственность за сохранность документов в делах и доступ к делам других работников.