[K_Giovanni]

День добрый! В компании, где работаю сейчас, юр отделу (так как кадровиков нет) дале задание привести все кадровые документы и иже с ними в порядок. Само собой, пройти мимо персональных данных никак нельзя. С вновь принятых работников всегда берется согласие на обработку персональных данных. Однако в компании отсутствует положение по работе с персональными данными. Прошерстив консультант, различные юр. сайты и т.д. пришли к выводу, что такое положение лучше завести. Но возникли сложности и, само собой, большое количество вопросов.

1. Ввиду того, что все персональные данные (ПДн) хранятся не только в бумажном виде (копии паспортов, личные карточки, приказы...), но и в виде сканов в 1С:ЗУП, ФСТЭК требует наличие такого документа как "Модель угроз безопасности ПДн при их обработке в ИСПДн" на основе нормативно-методического документа ФСТЭК России «Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных». Есть у кого-нибудь опыт в составлении подобного документа? Есть ли возможность все таки обойтись без него?

2. Компания занимается консалтингом, в том числе и ведением кадрового делопроизводства компаний-клиентов. Стоит ли уведомлять Роскомнадзор о том, что мы обрабатываем, накапливаем, храним и т.д. ПДн не только своих работников, но и работников компаний-клиентов?

3.Необходимы ли еще какие-либо документы (приказы, распоряжения...) связанные с данной темой? Например, приказ о назначении ответственного за сохранность ПДн?

4. Нужно ли получать с руководителей компаний-клиентов, а также с их работников согласие на обработку, хранение их базы ПДн?

У кого есть опыт в решении подобных вопросов? Кто сталкивался с похожей ситуаций? Прошу вашего совета.