Крок 5. Визначення наявності розпорядника баз персональних даних.

Відповідно до статті 2 Закону розпорядником бази персональних даних є фізична чи юридична особа, якій володільцем бази персональних даних або законом надано право обробляти ці дані. Володілець може доручити обробляти персональні дані розпоряднику на підставі письмового договору про це.

У сфері трудових відносин розпорядник буде зустрічатися дуже рідко. Прикладом наявності розпорядника у трудових відносинах може бути наступне. В юридичній особі відсутній відділ кадрів, а кадрове діловодство ведеться сторонньою фірмою (кадровою агенцією), то ця фірма може вважатися розпорядником бази "Працівники".

Крок 6. Внесення змін до установчих документів.

Відповідно до пункту 1 статті 6 Закону мета обробки персональних даних має бути сформульована у законах, інших нормативно-правових актах, положеннях, установчих чи інших документах, та відповідати законодавству про захист персональних даних.

Крок 7. Реєстрація баз персональних даних

Кожна база персональних даних (в електронному вигляді та/або в картотеках, в яких обробляються персональні дані) незалежно від обсягу та форми їх застосування, виду діяльності підлягає державній  реєстрації шляхом  внесення  відповідного запису  уповноваженим державним органом з питань захисту персональних даних до Державного реєстру баз персональних даних. Виключень щодо реєстрації баз персональних даних Закон не містить.

Для реєстрації бази персональних даних уповноваженому державному органу з питань захисту персональних даних володільцем бази персональних даних (це стосується будь-якої ланки профспілкової організації, що є юридичною особою) подається заява встановленого зразка (зразок наведено у попередній інформації). При цьому, щодо кожної бази даних, яка перебуває у володінні заявника, подається окрема заява. Первинна профспілкова організація, що не є юридичною особою, не подає заяв на реєстрацію баз персональних даних, якими вона володіє, однак всі дії щодо захисту персональних даних має

Заява про реєстрацію бази персональних даних повинна містити:

інформацію про володільця бази персональних даних,

інформацію про базу даних та місце її знаходження,

підтвердження зобов’язання стосовно виконання вимог законодавства щодо захисту персональних даних.

Крок 8. Необхідно привести посадові інструкції працівників, на яких покладена обробка персональних даних, і відповідно положення про структурні підрозділи

У першу чергу це стосується посадової інструкції інспектора з кадрів, або іншого спеціаліста, на якого будуть покладені такі обов'язки, та відділ бухгалтерського обліку або бухгалтера (зразки будуть наведені у наступній інформації)ю.

Крок 9. Необхідно отримати від працівників юридичної особи, які обробляють персональні дані, зобов'язання щодо нерозголошення персональних даних.

Відповідно до статті 10 Закону використання персональних даних працівниками суб'єктів відносин має здійснюватися лише відповідно до їхніх професійних чи службових або трудових обов'язків. Ці працівники зобов'язані не допускати розголошення у будь-який спосіб персональних даних, які їм було довірено або які стали відомі у зв'язку з виконанням професійних чи службових або трудових обов'язків. Таке зобов'язання чинне і після припинення ними діяльності, пов'язаної з персональними даними, крім випадків, встановлених законом.

У зв'язку з цим необхідно отримати від працівників, які за посадовими обов'язками мають справу з персональними даними інших осіб, письмові зобов'язання щодо нерозголошення персональних даних.

Наводимо зразок такого зобов'язання:

Керівнику юридичної особи

Інспектора кадрів

Прізвище, ім'я, по батькові