Персональные данные работников содержатся практически во всех кадровых документах: трудовом договоре и дополнительных соглашениях к нему, личной карточке формы Т-2, приказах о приеме, переводе, отпуске и увольнении, трудовой книжке или сведениях о трудовой деятельности, табеле учета рабочего времени, расчетных листках и документах по зарплате.
Отдельная группа - документы, которые сотрудник предоставляет при трудоустройстве: копия паспорта, СНИЛС, ИНН, документы об образовании и квалификации, военный билет, справка о доходах с предыдущего места работы. Если должность требует медосмотра, добавляются медицинские заключения - а это уже специальная категория данных о здоровье, для нее нужно отдельное согласие и повышенные требования к защите.
Сюда же входят документы о повышении квалификации, аттестации, дисциплинарных взысканиях, а также любая переписка с работником, где фигурируют его личные данные - заявления на отпуск, объяснительные, служебные записки. По сути, каждый документ личного дела сотрудника - это носитель персональных данных, и с ним нужно обращаться соответственно: ограничивать доступ, хранить в запираемых шкафах или защищенных базах, не передавать третьим лицам без согласия работника.
Для положения об обработке ПДн полезно прямо перечислить эти категории документов и указать, кто из сотрудников компании имеет к ним доступ - обычно это кадровик, бухгалтер по зарплате и непосредственный руководитель, и список должен быть закрытым, а не «все, кому надо».