Персональные данные

Персональные данные: о чём этот модуль

Персональные данные появляются в кадровых документах, заявках клиентов, договорах, обращениях, пропусках, медицинских сведениях и множестве других рабочих процессов. Нарушение может произойти при сборе лишней информации, отправке не тому получателю, публикации списка, использовании личной почты или хранении копий дольше необходимого срока.

Модуль объясняет, как распознавать персональные данные и их категории, связывать обработку с рабочей целью и ограничивать доступ. Рассматриваются сбор, хранение, изменение, передача, публикация, уничтожение, запросы субъектов и инциденты. Сотрудник учится не принимать самостоятельные решения там, где требуется установленное основание, согласование или участие ответственного за обработку ПДн.

Тема помогает выполнять внутренние процедуры, разработанные с учётом 152‑ФЗ и других применимых требований. Обучение не заменяет локальные нормативные акты и юридическую оценку, но делает правила понятными для сотрудников, которые ежедневно работают с данными людей.

Адаптация под организациюОписание, примеры, внутренние правила и тестовые вопросы можно дополнить с учётом процессов и требований компании.

Аудитория

Кому назначить эту тему

Перевести требования к персональным данным в понятные ежедневные действия для сотрудников, которые собирают, используют и передают ПДн.

HR и кадровое делопроизводство
Продажи, поддержка и операторы клиентских данных
Работники, непосредственно обрабатывающие ПДн

Содержание программы

Какие вопросы разбирает модуль

Каждый раздел связывает правило с ситуацией, в которой сотруднику нужно распознать риск и выбрать безопасное действие.

01

Категории и цели обработки

02

Доступ и минимизация

03

Передача и публикация

04

Запросы субъектов и инциденты

Зачем это компании

Риски, на которые направлен модуль

Обучение снижает вероятность типовых ошибок и задаёт сотруднику понятный порядок действий при сомнительной ситуации.

R1

Обработка без понятной цели

R2

Публикация или отправка не тому адресату

R3

Несогласованный доступ к ПДн

Из правила в действие

Как тема помогает в рабочих ситуациях

Разбирайте решения вместе с внутренними правилами компании: важны не только признаки угрозы, но и допустимые действия сотрудника.

Выгрузка из CRM для подрядчика

Сверить рабочую цель, разрешённые поля и получателя, не передавать всю клиентскую базу вместо согласованного набора.

Письмо со списком сотрудников

Проверить адресатов и вложения до отправки, использовать предусмотренный канал и ограничить распространение копий.

Запрос человека или ошибка передачи

Зарегистрировать обращение либо инцидент и передать ответственному. Не принимать самостоятельно решения о сроках хранения и внешнем уведомлении.

Программа и требования

С какими требованиями связано обучение

Тема помогает обучать людей безопасной работе. Применимость норм и состав программы определяются задачами организации и её информационных систем.

152-ФЗ: статьи 5, 7 и 18.1

Непосредственно связан с ознакомлением и (или) обучением работников по пункту 6 части 1 статьи 18.1. Темы цели и минимизации помогают применять статью 5, а правила передачи — конфиденциальность по статье 7. Программу нужно дополнить политикой и локальными актами оператора.

Читать источник →

Компетенции

Какие навыки формирует обучение

Результат закрепляется тестированием, а для выбранных программ может дополняться экспресс-курсом, фишинговым сценарием, геймифицированной практикой или 3D-миссией.

обрабатывает только необходимые данные
проверяет основание и получателя
не хранит лишние копии
эскалирует запросы и инциденты по установленному маршруту

Адаптация под компанию

Вопросы о теме

Персональные данные: что важно при выборе обучения

Требует ли 152-ФЗ обязательный ежегодный курс для всех?

Пункт 6 части 1 статьи 18.1 относится к работникам, непосредственно обрабатывающим ПДн, и предусматривает ознакомление и (или) обучение. Эта норма сама по себе не устанавливает универсальную ежегодную периодичность курса для всех сотрудников.

Что добавить к готовому обучению по ПДн?

Политику оператора, разрешённые цели и каналы обработки, правила доступа, хранения и передачи, а также контакты ответственных и порядок действий при ошибке или обращении человека.