Нужно ли всем работникам проходить обучение по персональным данным и получать удостоверение? Разбираем требования 152-ФЗ: кого достаточно ознакомить с правилами, кому полезно повышение квалификации, как подготовить ответственного за ПДн, оформить документы и организовать работу с персональными данными без лишнего обучения.
Представьте обычную организацию: директор, бухгалтерия, отдел кадров, несколько менеджеров и работники производства. В компании хранятся личные дела, начисляется зарплата, на сайте принимают заявки. Нужно ли всех направить в учебный центр на обучение обработке персональных данных? А должен ли пройти повышение квалификации работник, которого приказом назначили ответственным за эту обработку?
Главное: закон требует организовать работу с персональными данными и предусматривает ознакомление работников, непосредственно осуществляющих их обработку, с применимыми правилами и (или) обучение этих работников (п. 6 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»). Однако он не устанавливает обязательный для каждого работника курс в учебном центре, программу на 72 часа или единый срок повторного обучения.
Для юридического лица есть еще одна прямая обязанность — назначить ответственного за организацию обработки персональных данных (ч. 1 ст. 22.1 Закона № 152-ФЗ). Специальное удостоверение для такого назначения сам Закон № 152-ФЗ не требует. Но ответственному приходится контролировать выполнение правил, разбирать обращения, организовывать ознакомление работников и реагирование на нарушения. Поэтому повышение квалификации для него — не формальная обязанность «для галочки», а практическая рекомендация. С нее и начнем разбираться: кого нужно ознакомить, кого целесообразно обучить и как все подтвердить.
Персональные данные (ПДн) — любая информация, относящаяся прямо или косвенно к определенному либо определяемому физическому лицу (п. 1 ст. 3 Закона № 152-ФЗ). Это не только паспорт или СНИЛС. Фамилия вместе с рабочими контактами, сведения о зарплате, адрес доставки, запись обращения клиента или информация об обучении конкретного слушателя тоже могут быть персональными данными, если позволяют идентифицировать человека.
Обработка ПДн — практически любое действие с ними: сбор, запись, хранение, использование, передача, уточнение, удаление или уничтожение. И это относится не только к электронным системам. Бумажные личные дела, анкеты и журналы тоже требуют законной организации обработки (п. 3 ст. 3 Закона № 152-ФЗ; постановление Правительства РФ от 15.09.2008 № 687 — для обработки без средств автоматизации).
Оператор персональных данных — тот, кто самостоятельно или совместно с другими лицами организует обработку и определяет ее цели, состав сведений и действия с ними (п. 2 ст. 3 Закона № 152-ФЗ). Поэтому обычное ООО с персоналом, салон красоты с записями клиентов, интернет-магазин с заказами и учебный центр со слушателями обычно выступают операторами в отношении соответствующих процессов.
Отдельный нюанс: сами по себе фото или запись с камеры не всегда являются биометрическими персональными данными. Правовой режим биометрии зависит в том числе от использования физиологических или биологических характеристик для установления личности (ст. 11 Закона № 152-ФЗ). Равным образом сведения о несовершеннолетнем не становятся специальной категорией исключительно из-за его возраста. Для медицинских сведений и других специальных категорий есть отдельные ограничения (ст. 10 Закона № 152-ФЗ).
Пункт 6 части 1 статьи 18.1 Закона № 152-ФЗ указывает на ознакомление работников оператора, непосредственно осуществляющих обработку персональных данных, с законодательством, требованиями к защите, политикой оператора и локальными актами и (или) на обучение этих работников. Это не требование оформить всех в один учебный центр: оператор должен обеспечить применимую меру и уметь подтвердить ее выполнение (ч. 4 ст. 18.1).
Слова «и (или)» здесь принципиальны. Организация может ознакомить работников с правилами, организовать их обучение либо совместить оба мероприятия. Закон не назначает всем одинаковую программу, продолжительность и периодичность. Но и полное отсутствие информирования работников, которые непосредственно работают с персональными данными, нельзя оправдать тем, что «обязательного удостоверения нет».
Отдельно действует статья 22.1 Закона № 152-ФЗ. Оператор — юридическое лицо — назначает ответственного за организацию обработки персональных данных. По части 4 этой статьи ответственный осуществляет внутренний контроль, доводит до работников применимые нормы и локальные правила, организует прием и обработку обращений субъектов персональных данных либо контролирует эту работу.
Таким образом, законодательство разделяет три вопроса. Назначить ответственного юридическое лицо обязано. Обеспечить ознакомление и (или) обучение работников, непосредственно обрабатывающих персональные данные, — предусмотренная законом мера оператора. Направить назначенного ответственного на повышение квалификации полезно и часто оправданно по содержанию его работы, но это не универсальное требование статьи 22.1. Если специальный отраслевой акт устанавливает более строгие квалификационные условия, их проверяют отдельно.
Определять список работников лучше не по штатному расписанию, а по фактическим операциям с ПДн. Один и тот же менеджер может только заниматься оборудованием, а может ежедневно открывать карточки клиентов в CRM. Во втором случае требования к ознакомлению с правилами обработки очевидно актуальнее.
Ниже — ориентир для типичного работодателя. Он не устанавливает обязательное количество часов, а показывает, почему конкретная должность может оказаться в перечне работников, непосредственно обрабатывающих ПДн.
Работник | Какие данные обрабатывает | Какая подготовка уместна |
|---|---|---|
Кадровик | Сведения о работниках, трудовые договоры, личные дела, документы для учета | Ознакомление с локальными актами, основаниями обработки, доступом, передачей и хранением; при расширенных функциях — углубленная подготовка. |
Бухгалтер | Начисление зарплаты, банковские реквизиты, налоговые сведения | Правила использования и передачи ПДн, ограничения доступа, защита отчетов и выгрузок. |
Менеджер по продажам | Контакты клиентов, заявки, переписка, CRM | Цели и основания обработки, маркетинговые рассылки, доступ в CRM, передача контактов третьим лицам. |
Системный администратор | Технический доступ к информационным системам и базам | Правила разграничения доступа и защиты систем; в зависимости от функций — специальная техническая подготовка. |
Руководитель / ответственный | Организует процессы, принимает решения и контролирует выполнение требований | Понимание обязанностей оператора, локальных актов, уведомлений, инцидентов и контроля. |
Работник без доступа к ПДн | Не выполняет операций с ПДн по своей работе | Не включается автоматически в специализированное обучение только по факту трудоустройства. |
Практический вывод: рабочая профессия сама по себе не освобождает организацию от соблюдения Закона № 152-ФЗ, но и не делает каждого токаря или водителя обязательным слушателем курса. Работодатель как оператор обрабатывает данные этих работников через кадровую и бухгалтерскую службы; это не тождественно обработке данных ими самими.
Посмотрим не на абстрактного «оператора», а на знакомые рабочие ситуации. Во всех примерах описаны условные организации, а вывод зависит от их фактических процессов, информационных систем и дополнительных отраслевых требований.
В ООО работают директор, кадровик, бухгалтер и пять менеджеров. У компании есть сайт с формой обратной связи и CRM. Это типичный оператор ПДн: он обрабатывает данные работников и клиентов. Кадровику, бухгалтеру и менеджерам, непосредственно использующим эти сведения, нужно довести применимые правила обработки и защиты данных; формат определяют с учетом законодательства и внутренних документов (п. 6 ч. 1 ст. 18.1 Закона № 152-ФЗ).
Направлять всех сотрудников на повышение квалификации не требуется только потому, что организация собирает заявки на сайте. А вот проверить правовые основания сбора данных, политику обработки, права доступа, документы по сайту и необходимость уведомления Роскомнадзора — уже самостоятельные задачи оператора (ст. 6, 18.1, 19, 22 Закона № 152-ФЗ).
На заводе работают 80 человек: 65 — в цехах, остальные — административный персонал. ПДн работников обрабатывают в отделе кадров и бухгалтерии; часть данных используют руководители подразделений. Для последних важно определить, к каким именно сведениям они допущены — например, могут ли они видеть списки, графики и информацию об отсутствии работников.
Автоматически обучать всех станочников в учебном центре по ПДн не требуется. Но работников, имеющих прямой доступ к ПДн по функциям, нужно ознакомить с правилами и/или обучить. Для ответственного за организацию обработки ПДн можно выбрать более углубленное повышение квалификации — это помогает организовать систему, но само по себе не является общим законодательным требованием о дипломе.
Муниципальная школа обрабатывает сведения работников, обучающихся, родителей и законных представителей. Кадровые работники, секретарь, работники приемной комиссии и педагогические работники, которые непосредственно ведут списки, журналы, индивидуальные записи и иные сведения, нуждаются в правилах безопасной и правомерной обработки в пределах своих функций.
Неочевидный момент: муниципальная школа как муниципальное учреждение не равна администрации муниципального образования как муниципальному органу. Постановление Правительства РФ от 21.03.2012 № 211 адресовано операторам, являющимся государственными или муниципальными органами; применять его к любой МБОУ только из-за слова «муниципальная» в названии нельзя. На школу при этом продолжает распространяться Закон № 152-ФЗ, а к ее конкретным информационным системам могут применяться дополнительные требования.
Администрация как муниципальный орган обрабатывает сведения заявителей, работников, получателей муниципальных услуг и других граждан. Помимо общих положений Закона № 152-ФЗ здесь применяется постановление Правительства РФ № 211. Подпункт «е» пункта 1 утвержденного им Перечня прямо предусматривает ознакомление служащих, непосредственно осуществляющих обработку ПДн, с законодательством и локальными актами и (или) организацию их обучения.
Кроме того, постановление № 211 предусматривает назначение ответственного, определение должностей с доступом к ПДн и организацию внутреннего контроля. Поэтому администрации недостаточно ограничиться универсальной лекцией без понимания, где и кем реально обрабатываются данные. Но и здесь постановление № 211 не предписывает поголовное повышение квалификации всех служащих в учебном центре.
Клиника обрабатывает контактные данные пациентов, сведения о записи и лечении, а также информацию о состоянии здоровья. Последняя относится к специальным категориям персональных данных (ст. 10 Закона № 152-ФЗ); к медицинским сведениям дополнительно применяются требования о врачебной тайне (ст. 13 Федерального закона от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации»).
Администраторам, врачам, работникам регистратуры и другим лицам, которые непосредственно работают с ПДн, нужны правила соответствующих операций. Особенно важно объяснить порядок передачи данных, доступа в информационные системы, общения с родственниками пациентов и реагирования на ошибочную отправку медицинских документов. Само наличие специальной категории данных не означает для каждого работника обязательного отдельного 72-часового курса по ПДн.
Учебный центр получает от заказчиков данные слушателей, оформляет документы об обучении и в предусмотренных случаях передает сведения в государственные информационные системы. Работники приемной группы, менеджеры, методисты и лица, загружающие информацию в соответствующие системы, непосредственно участвуют в обработке ПДн.
Таким работникам нужно объяснить не только общие правила конфиденциальности, но и законные основания получения сведений, разграничение доступа, особенности передачи данных работодателем и обработку по поручению оператора, если она используется (ч. 3 ст. 6 Закона № 152-ФЗ). В частности, нельзя исходить из того, что согласие слушателя — единственное возможное правовое основание для любой операции: основания зависят от конкретной цели и закона (ч. 1 ст. 6 Закона № 152-ФЗ).
Эти примеры показывают общий принцип: обязанность организации соблюдать требования к ПДн существует независимо от формы собственности, но состав работников, содержание подготовки и способ ее подтверждения определяются характером обработки.
В разговорах с заказчиками под словом «обучение» часто скрываются три разных мероприятия. Их важно не путать: ошибка ведет либо к ненужным расходам, либо к формальному исполнению требований.
Мероприятие | Что получает организация | Когда использовать |
|---|---|---|
Ознакомление с законодательством и локальными актами | Подтверждение доведения конкретных правил до работников | Для тех, кто непосредственно обрабатывает ПДн; объем зависит от выполняемых операций. |
Внутреннее занятие, тестирование, тренировка | Практическое понимание правил и действий при ошибках | Когда риски обработки и задачи работников требуют большего, чем подпись в листе. |
Повышение квалификации (ДПО) | Освоение дополнительной профессиональной программы, удостоверение | Для углубленной подготовки ответственного, юриста, кадровика, специалиста по защите данных; если специальная норма не требует иного. |
Профессиональная переподготовка (ДПО) | Освоение программы переподготовки, диплом о квалификации | Для освоения нового вида профессиональной деятельности; не универсальная обязанность по 152-ФЗ. |
Правила дополнительного профессионального образования установлены статьей 76 Федерального закона от 29.12.2012 № 273-ФЗ «Об образовании в Российской Федерации» и действующим Порядком, утвержденным приказом Минобрнауки России от 24.03.2025 № 266. Удостоверение получают по результатам повышения квалификации, диплом — по результатам профессиональной переподготовки; обычный лист ознакомления к документам о квалификации не относится.
По Порядку № 266 минимальный срок программы повышения квалификации составляет 16 часов, профессиональной переподготовки — 250 часов. Это минимальные сроки для соответствующих видов ДПО, а не установленная Законом № 152-ФЗ норма «сколько часов обязан пройти каждый работник».
Ответственным за организацию обработки персональных данных назначают работника, которому реально можно поручить соответствующие функции. Статья 22.1 Закона № 152-ФЗ требует такого назначения от оператора — юридического лица и определяет обязанности ответственного. Одной подписью в приказе эти обязанности не исполняются: необходимо контролировать соблюдение правил, доводить их до работников и работать с обращениями граждан (ч. 1, 4 ст. 22.1).
При этом Закон № 152-ФЗ не устанавливает, что ответственный обязан иметь диплом о профессиональной переподготовке, ежегодно получать удостоверение или обязательно пройти именно 72-часовой курс. Это означает отсутствие универсального требования к ДПО, а не отсутствие потребности в компетенциях. Объем подготовки зависит от числа процессов обработки, категории данных, полномочий ответственного и специальных требований.
Условный пример. В ООО ответственным за обработку персональных данных назначили руководителя отдела кадров. Ему потребуется понимать, когда обработка допустима без согласия, как составлять локальные акты, разграничивать доступ, организовать ответы на запросы и уведомлять Роскомнадзор в предусмотренных законом ситуациях. Если же работник дополнительно отвечает за техническую защиту информационных систем, одного правового курса по персональным данным может быть недостаточно.
Что должно входить в подготовку ответственного? Это не закрепленная Законом № 152-ФЗ единая учебная программа, а рекомендуемое содержание обучения, привязанное к его задачам:
По итогам такой подготовки ответственный должен уметь не просто назвать статью закона, а проверить конкретный процесс: зачем собирают данные, кто имеет к ним доступ, кому сведения передают, каким документом оформлено основание и что делать при ошибке. Поэтому при выборе курса важнее программа и результат, а не только число часов.
Для комплексной подготовки ответственных и кадровых специалистов в учебном центре «Сфера безопасности» есть программа повышения квалификации «Защита персональных данных: правовые аспекты и практические навыки» (72 часа).
Это вариант углубленного изучения темы, а не универсально обязательный для каждого оператора курс.
Если задача связана прежде всего с построением организационных процедур, можно рассмотреть курс «Организация работы по защите персональных данных» (72 часа).
При выборе программы следует сопоставить ее учебный план с реальными обязанностями слушателя.
У пункта 6 части 1 статьи 18.1 Закона № 152-ФЗ нет единой календарной периодичности ознакомления или обучения работников. Он не устанавливает, что всем нужно проходить курс раз в год, три года или пять лет. Не установлена и общая федеральная форма «протокола проверки знаний по ПДн».
Поэтому разумно закрепить во внутренних документах порядок доведения правил до работников: при начале выполнения обязанностей с ПДн, при существенных изменениях локальных актов, при изменении роли работника или после выявленных ошибок. Периодические повторные занятия могут быть полезны, но конкретный интервал в такой ситуации является организационным решением, а не универсальной нормой Закона № 152-ФЗ.
Важно не смешивать требования по ПДн со специальными правилами информационной безопасности отдельных государственных информационных систем или значимых объектов критической информационной инфраструктуры. Сроки из иных актов применяют только при выполнении условий их действия. Так, трехлетнюю оценку знаний пользователей по отдельным требованиям ФСТЭК нельзя автоматически выдавать за всеобщее требование 152-ФЗ.
Подробнее о различии между существованием удостоверения и периодичностью повторной подготовки мы разбирали в статье «Срок действия удостоверения о повышении квалификации: сколько действует документ и как часто проходить обучение». Сначала устанавливают специальную норму, затем выбирают срок, а не наоборот.
Нередко организация проводит занятие, но спустя несколько месяцев не может объяснить, кто участвовал и какие конкретно правила рассматривались. Для соблюдения законодательства важны как реальные меры, так и возможность подтвердить их принятие: оператор по запросу уполномоченного органа представляет документы или иным способом подтверждает выполнение мер (ч. 4 ст. 18.1 Закона № 152-ФЗ).
Закон № 152-ФЗ не устанавливает для всех коммерческих организаций единую обязательную форму листа ознакомления, журнала занятий или теста по персональным данным. Оператор выбирает способ подтверждения с учетом своих процессов. В качестве практического набора документов можно использовать:
Это рекомендуемый набор для управляемости и доказуемости, а не утвержденная федеральным законом единая форма. Документы должны соответствовать реально проведенным мероприятиям: подпись не подтверждает занятие, которого не было, а удостоверение ответственного не заменяет ознакомления остальных работников с их собственными правилами.
Если ограничиться перечислением статей закона, работник может так и не понять, как действовать на своем рабочем месте. Поэтому в программу внутреннего занятия полезно включить не только положения документов, но и практические ситуации для конкретных должностей.
Ситуация с бухгалтерией. Бухгалтер по ошибке отправил ведомость с зарплатами не тому адресату. Работнику важно знать, кому немедленно сообщить об ошибке, как ограничить дальнейшее распространение, какие сведения сохранить и кто решает вопрос об уведомлении регулятора.
Ситуация с кадровиком. Руководитель стороннего подразделения попросил копию паспорта работника «на всякий случай». Нужно проверить правовое основание, цель передачи, допустимость раскрытия и круг лиц, имеющих доступ. Принцип «у нас одна организация — всем можно все» закону не соответствует (ст. 5, 6, 19 Закона № 152-ФЗ).
Ситуация с отделом продаж. Менеджер хочет использовать контакты клиентов для новой рекламной рассылки. Здесь важно отделить первоначальную цель сбора данных от новой цели и проверить применимые основания и требования к рекламной коммуникации; имеющаяся заявка на консультацию не дает автоматически права на любые рассылки.
Ситуация с руководителем. Ответственный за ПДн выяснил, что подрядчик получает базу слушателей. Необходимо проверить, оформлено ли поручение обработки, что в нем указано, как обеспечиваются меры защиты и кто сообщает о происшествии (ч. 3 ст. 6 Закона № 152-ФЗ).
Практический результат такого занятия — работник понимает пределы своего доступа, допустимые способы передачи сведений и порядок сообщения об ошибках. Одного знания определения «персональные данные» для этого мало.
Эта тема заслуживает отдельного внимания, потому что последствия ошибки могут возникнуть очень быстро. Часть 3.1 статьи 21 Закона № 152-ФЗ устанавливает специальный порядок уведомления Роскомнадзора при выявлении неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшей нарушение прав субъектов.
При наличии предусмотренного законом события оператор должен сообщить регулятору первоначальные сведения в течение 24 часов, а результаты внутреннего расследования — в течение 72 часов с момента выявления соответствующего инцидента (ч. 3.1 ст. 21 Закона № 152-ФЗ). Не каждое техническое событие автоматически подпадает под эту норму: сначала требуется установить фактические обстоятельства и предусмотренные законом признаки.
Поэтому работнику, обнаружившему ошибочную отправку файла или подозрительный доступ к базе, не нужно самостоятельно решать сложный юридический вопрос. Он должен иметь понятный внутренний канал для немедленного сообщения ответственным лицам и знать, что нельзя скрывать проблему до конца рабочего дня. Это рекомендация по внутренней организации реагирования, а не требование закона о том, чтобы каждый работник лично направлял уведомление в Роскомнадзор.
Обучение работников — только одна часть системы. Даже если все сотрудники прослушали курс, это не отменяет обязанности оператора проверить вопрос уведомления Роскомнадзора. По общему правилу до начала обработки ПДн оператор направляет уведомление, если не применимо одно из исключений, предусмотренных частью 2 статьи 22 Закона № 152-ФЗ.
Распространенная ошибка — считать, что обработка исключительно кадровых данных автоматически освобождает от уведомления. Старое широкое исключение для обработки сведений в трудовых отношениях утратило силу в 2022 году; поэтому соответствие действующим исключениям надо анализировать заново. Признание компании оператором и подача уведомления — самостоятельные вопросы, не зависящие от того, куплены ли удостоверения о повышении квалификации.
Проверить стоит и смежные обязанности: локальные документы, правила доступа, сроки хранения и уничтожения, меры защиты информационных систем (ст. 18.1, 19 Закона № 152-ФЗ). Для информационных систем ПДн действуют специальные требования постановления Правительства РФ от 01.11.2012 № 1119. Это не следует смешивать с требованиями к форме учебных занятий.
В статье 13.11 КоАП РФ нет универсального состава «работник не прошел 72-часовое обучение по персональным данным». Следовательно, нельзя утверждать, что любой оператор без удостоверений автоматически получит определенный штраф. Надзорный орган оценивает соблюдение применимых обязательных требований, а для привлечения к ответственности необходим конкретный состав правонарушения.
При этом нарушения правил обработки и защиты ПДн влекут самостоятельную ответственность. Например, часть 1 статьи 13.11 КоАП РФ касается обработки в не предусмотренных законодательством случаях либо несовместимой с целями сбора данных: для юридических лиц штраф составляет от 150 000 до 300 000 рублей. Часть 10 статьи 13.11 устанавливает ответственность за неисполнение обязанности уведомить Роскомнадзор о намерении обрабатывать ПДн: для юридических лиц соответствующей категории — от 100 000 до 300 000 рублей.
При применении частей 10–18 статьи 13.11 важно учитывать специальные примечания к статье, которые по-разному определяют категории должностных и юридических лиц для государственных и муниципальных органов, некоммерческих и иных организаций. Поэтому указанные суммы нельзя без анализа автоматически переносить на любое учреждение. За нарушения, связанные с утечками и несвоевременным уведомлением об инциденте, предусмотрены другие составы и санкции (в частности, ч. 11–18 ст. 13.11 КоАП РФ).
Что это означает для обучения? Недостаточная осведомленность персонала может стать фактором нарушений, но юридическая ответственность наступает не «за отсутствие красивого сертификата» как такового, а при наличии подтвержденного нарушения предусмотренной законом обязанности или другого состава правонарушения.
За федеральный государственный контроль (надзор) за обработкой ПДн отвечает Роскомнадзор как уполномоченный орган по защите прав субъектов персональных данных (ст. 23 Закона № 152-ФЗ). В его проверочных материалах присутствует вопрос об ознакомлении служащих государственных и муниципальных органов, непосредственно обрабатывающих данные: соответствующий контрольный вопрос содержится в форме проверочного листа, утвержденной приказом Роскомнадзора от 24.12.2021 № 253.
ФСТЭК России устанавливает требования к организационным и техническим мерам защиты ПДн в информационных системах в пределах своей компетенции (например, приказ ФСТЭК России от 18.02.2013 № 21); ФСБ России регулирует отдельные требования при использовании криптографических средств защиты (например, приказ ФСБ России от 10.07.2014 № 378). Нельзя представлять эти ведомства как единую «комиссию по обучению персональным данным» или подменять технические требования нормами о ДПО.
Ключевой документ для рассматриваемого вопроса все же Закон № 152-ФЗ. Проверяющий будет смотреть на реальное выполнение обязанностей оператора; вид, длительность и порядок углубленного обучения определяются применимым правовым режимом и функциями работников.
Чтобы не начинать с покупки одинакового курса для всех, сначала следует определить, какие меры нужны организации и каким работникам. Ниже — последовательность действий, в которой обязательные требования законодательства отделены от практических рекомендаций:
Шаг 1. Перечислите процессы обработки ПДн: кадры, зарплата, продажи, сайт, заявки, пропускная система, обучение, пациенты, дети и другие категории при наличии.
Шаг 2. Определите, кто оператор, какие цели и основания обработки применимы, кто получает данные по поручению и какие информационные системы используются.
Шаг 3. Назначьте ответственного за организацию обработки ПДн, если оператор является юридическим лицом (ст. 22.1 Закона № 152-ФЗ).
Шаг 4. Составьте перечень работников, непосредственно обрабатывающих ПДн, и сопоставьте их функции с правилами, которые необходимо довести.
Шаг 5. Утвердите и актуализируйте локальные акты, определите внутренний способ ознакомления, обучения и фиксации участия.
Шаг 6. Проведите ознакомление/занятия; для ответственных специалистов оцените необходимость углубленного повышения квалификации, не объявляя его обязательным для всех.
Шаг 7. Проверьте уведомление Роскомнадзора, безопасность систем, обработку по поручению, действия при инцидентах и хранение доказательств принятых мер.
Шаг 8. Пересматривайте подготовку при изменениях процессов, законодательства, ролей работников и по результатам выявленных ошибок.
В результате организация получает не формальный перечень удостоверений, а обоснованное решение: кому достаточно ознакомления, кого нужно дополнительно потренировать, а кому целесообразно пройти повышение квалификации. Если локальные документы, способы обработки или обязанности работника меняются, содержание подготовки также пересматривают.
Подобрать образовательную программу для ответственного, кадрового работника или специалиста по защите ПДн можно в разделе «Обработка персональных данных» учебного центра «Сфера безопасности». Требования закона и потребности в дополнительной квалификации необходимо оценивать отдельно.
Обязано ли ООО обучать работников по персональным данным?
ООО как оператор обязано обеспечить применимые меры по Закону № 152-ФЗ, включая ознакомление работников, непосредственно осуществляющих обработку персональных данных, с законодательством и внутренними правилами и (или) их обучение (п. 6 ч. 1 ст. 18.1). Обязательное повышение квалификации всех работников в учебном центре этим законом не предусмотрено.
Нужно ли всем работникам получать удостоверение по 152-ФЗ?
Нет. Федеральный закон № 152-ФЗ не устанавливает универсального требования иметь удостоверение о повышении квалификации каждому работнику. Выбор ДПО оправдан для углубленной подготовки соответствующих специалистов или выполнения применимых специальных требований.
Обязательно ли обучение бухгалтера и кадровика?
Работники, которые непосредственно обрабатывают ПДн, должны знать применимые требования и внутренние правила. Организация обеспечивает ознакомление и (или) обучение, выбирая подходящий формат. Отдельная 72-часовая программа сама по себе не является обязательной для любого бухгалтера или кадровика.
Нужно ли учить рабочих на заводе, если их данные хранятся в отделе кадров?
Само наличие персональных данных рабочего в кадровой системе не делает его непосредственным обработчиком ПДн. Отдельную подготовку по ПДн организуют для тех работников, чьи функции действительно связаны с обработкой данных.
Действует ли постановление Правительства РФ № 211 для муниципальной школы?
Не автоматически. Постановление № 211 адресовано операторам — государственным и муниципальным органам. Муниципальное учреждение и муниципальный орган — разные организационно-правовые категории. На школу в любом случае распространяются применимые положения Закона № 152-ФЗ.
Обязательно ли ответственному за ПДн иметь диплом о переподготовке?
Нет, сама статья 22.1 Закона № 152-ФЗ не устанавливает общей обязанности иметь диплом о переподготовке или удостоверение по конкретному курсу. Но ответственному необходимо выполнять установленные законом функции. Поэтому для впервые назначенного работника или при сложных процессах обработки повышение квалификации разумно организовать; это рекомендация, а не универсальное обязательное требование.
Как часто нужно проводить обучение по персональным данным — ежегодно или раз в три года?
Закон № 152-ФЗ не устанавливает общей периодичности обучения для всех работников. Организация определяет внутренний порядок с учетом изменений обязанностей, процессов, локальных документов и выявленных ошибок, если специальные требования не предписывают иного.
Можно ли ознакомить работников дистанционно и без бумажного журнала?
В общем случае универсальная бумажная форма подтверждения ознакомления по Закону № 152-ФЗ не установлена. Электронный способ допустимо рассматривать при условии, что он обеспечивает достоверную идентификацию работника, фиксацию конкретных материалов и соблюдение применимых требований к электронному документообороту.
Нужно ли оформлять протокол проверки знаний по персональным данным?
Обязательного для всех операторов протокола проверки знаний по единой государственной форме нет. Если организация использует тестирование, его результаты удобно сохранять по локальному порядку. Для дополнительного профессионального образования действуют собственные правила аттестации и выдачи документов.
Кому сообщать об утечке персональных данных и какие сроки?
Работник должен без промедления информировать установленных внутренних ответственных. При наступлении предусмотренного частью 3.1 статьи 21 Закона № 152-ФЗ инцидента оператор уведомляет Роскомнадзор первоначально в течение 24 часов и направляет результаты расследования в течение 72 часов.
Штрафует ли Роскомнадзор за отсутствие удостоверения об обучении?
Отдельного универсального штрафа за отсутствие 72-часового удостоверения у каждого работника статья 13.11 КоАП РФ не содержит. Ответственность зависит от конкретного нарушения требований законодательства, обстоятельств и применимой части статьи.
Если работники уже прошли обучение по информационной безопасности, нужно ли дополнительно обучать по ПДн?
Решает содержание уже пройденной подготовки и фактические обязанности. Курс по общим вопросам кибербезопасности может не охватывать правовые основания обработки, права субъектов, уведомления Роскомнадзора и локальные документы. Даже при наличии удостоверения правила конкретного оператора должны быть доведены до работников.
Обязанность «обучить всех работников персональным данным на 72 часа» из Федерального закона № 152-ФЗ не следует. Но закон требует от оператора организовать выполнение мер, в том числе ознакомление работников, непосредственно обрабатывающих персональные данные, с требованиями законодательства и внутренними документами и (или) их обучение (п. 6 ч. 1 ст. 18.1). Это не факультативное отношение к защите информации: у работников должны быть понятные правила, а у оператора — подтверждение принятых мер.
Юридическое лицо обязано назначить ответственного за организацию обработки персональных данных (ст. 22.1 Закона № 152-ФЗ). Его повышение квалификации логично рекомендовать, особенно если он впервые получает эти функции либо в организации сложные процессы обработки. Однако диплом или удостоверение не являются универсальными условиями назначения по Закону № 152-ФЗ. Для офиса, производства, школы, клиники или муниципального органа конкретный набор мероприятий определяется с учетом данных, процессов и специальных норм.
Правильный порядок действий — определить фактических пользователей данных, провести ознакомление с применимыми правилами, при необходимости организовать дополнительные занятия и подготовить ответственного к выполнению своих функций. Работники должны знать, какую информацию им разрешено использовать и кому немедленно сообщить об ошибке. Сертификат сам по себе не заменяет систему защиты, а отсутствие обязательного для всех сертификата не освобождает организацию от соблюдения законодательства.
С уважением, команда учебного центра «Сфера безопасности»
Оставьте контакты, специалист свяжется с вами в течение дня, ответит на вопросы и поможет подобрать обучение под ваши цели и задачи
Комментарии
Здесь пока пусто. Задайте первый вопрос — мы отвечаем в комментариях.