Журнал учёта прохождения обучения по защите персональных данных
Документ, который отвечает на единственный вопрос, задаваемый при разборе любого инцидента: обучался ли этот конкретный человек и когда. Все остальные документы обучающего блока на него ответить не могут.
Зачем нужен документ
В комплекте есть журналы предметов — носители, токены, мобильные устройства. Есть журналы событий — обращения, запросы, инциденты. Журнал учёта обучения устроен иначе: его единица учёта — человек. И это не формальное отличие, а то, ради чего он ведётся.
Вопрос, под который этот журнал существует, всегда звучит одинаково и всегда персонально: обучался ли работник, из-за действий которого произошёл инцидент, и когда именно. Ни программа, ни приказ, ни тестовые материалы на него не отвечают. Отвечает только строка с фамилией, датой, темой и результатом.
Поэтому самая распространённая форма ведения — по мероприятиям — не работает. Запись «12 марта проведено обучение по защите персональных данных, присутствовали согласно списку» выглядит основательно ровно до момента, когда потребуется установить, был ли в том списке конкретный человек. Список к этому времени лежит приложением к протоколу в другой папке, часть подписей неразборчива, а половина присутствовавших уволилась.
Чем грозит отсутствие
Сам по себе журнал обучения не наказывается — своего состава у него нет. Но он участвует в разговоре о самом дорогом событии, какое может случиться с оператором, и участвует на стороне организации.
Как ещё называют этот документ
Что должно быть в документе
Граф немного, и все они существуют ради адресности записи.
Требования законодательства
Как связан с другими документами
Журнал — точка, где обучающий блок соединяется с кадровыми процессами.
Что спросит проверяющий
Журнал обучения проверяют сверкой с кадровыми данными — это занимает пять минут.
Разбор эксперта
Журнал учёта обучения — тот редкий документ, у которого есть ровно один сценарий использования, и в этом сценарии он либо срабатывает, либо нет. Сценарий такой: произошёл инцидент, установлен виновный сотрудник, и звучит вопрос — обучали ли его и когда. Всё содержание журнала существует ради ответа на этот вопрос за минуту. Если для ответа нужно поднимать протоколы занятий, искать приложения со списками и разбирать подписи двухлетней давности, журнал не сработал, даже если формально он есть и заполнен.
Отсюда единственное требование, которое я бы поставил выше остальных: записывать людей, а не мероприятия. Строка на человека, дата, вид обучения, тема, результат, подпись. Да, при кампании на сто сотрудников это сто строк вместо одной, и это раздражает. Но одна строка про мероприятие не отвечает ни на один вопрос, который будет задан, а сто строк отвечают на любой из них немедленно — включая вопрос про уволившегося три года назад менеджера, чью выгрузку сейчас разбирают.
И то, что мы находим почти в каждой организации с годовым циклом обучения. Кампанию проводят в марте, журнал закрывают, дальше принимают людей — в апреле, июне, октябре. Все они работают до следующего марта, ни разу не обучившись, и именно они статистически чаще всего и становятся источником инцидента: человек новый, процессы незнакомые, спросить неудобно. Лечится это одним организационным решением: вводное обучение привязывается к приёму на работу и запускается кадровой службой, а не календарём. Кадры узнают о новом сотруднике первыми — значит и триггер должен быть у них.
Ведите журнал по людям: строка на работника, а не на мероприятие. Обязательно разделяйте вводное и периодическое обучение — по этой графе проверяется самый частый пробел. Заполняйте графу результата, а не только присутствия. Привяжите запуск вводного обучения к приёму на работу и закрепите это за кадровой службой. Указывайте раздел программы, если содержание разведено по ролям. И не удаляйте записи после увольнения: вопрос о человеке приходит обычно тогда, когда он уже не работает у вас.
Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об экспертеЧастые вопросы
Формально можно, практически бесполезно. Вопрос при разборе инцидента всегда персональный: обучался ли конкретный человек и когда. Строка про мероприятие со ссылкой на список присутствовавших отвечает на него только после раскопок в протоколах, а список к этому времени обычно уже не найти.
Как правило ответственный за организацию обработки персональных данных вместе с кадровой службой. Участие кадров принципиально: они первыми узнают о приёме работника и потому способны запустить вводное обучение вовремя.
Да, и это самый распространённый пробел. При привязке обучения только к календарю принятые после кампании работают до следующей без всякой подготовки. Вводное обучение должно запускаться фактом приёма на работу.
Формы журнала закон не устанавливает, но подпись или электронная отметка в системе обучения — это то, что превращает запись в доказательство. Без неё в журнале остаётся утверждение организации о самой себе.
Тогда графа останется пустой, и это честно покажет, что усвоение не проверялось. Разумнее ввести короткий тест: именно результат отличает подтверждение обучения от отметки о присутствии.
Не менее срока работы сотрудника и разумный период после увольнения. Инциденты часто обнаруживаются после ухода человека, и запись об его обучении понадобится именно в этот момент.
Нет. Лист подтверждает вручение документа, а обучение — это занятие с проверкой усвоения. Вести их можно рядом, но графы стоит разделять: в споре вопросы «видел ли документ» и «понимал ли правила» решаются разными записями.