7 основных правил работы с персональными данными

Главная > О Центре > Публикации

Светлышева Ольга Юрьевна, преподаватель Центра по направлению Управление персоналом и кадровому делу

Вокруг персональных данных много мифов и домыслов. На практике часто встречаются крайности: работодатели либо необоснованно засекречивают всю информацию о работнике, либо вообще не обращают внимания на защиту их персональных данных.

Давайте разберемся с правилами работы с персональными данными (ПД).

Правило 1. Работать с ПД в рамках закона
Правило 2. Понимать, какие сведения относятся к ПД
Правило 3. Различать категории ПД
Правило 4. Уметь обрабатывать ПД
Правило 5. Грамотно оформлять документы по работе с ПД
Правило 6. Знать права работника и обязанности работодателя при работе с ПД
Правило 7. Учитывать ответственность работодателя за нарушение защиты ПД

Правило 1. Работать с ПД в рамках закона

Для начала следует разобраться с терминологией и понять, кто является «субъектом ПД» и «оператором ПД».

Переведем эти понятия на язык трудового законодательства:

Субъект ПД — кандидат / стажер / работник / бывший работник, тот, чьи ПД обрабатываются.

Оператор ПД — работодатель, тот, кто обрабатывает ПД.

На сегодняшний день в России несколько нормативных актов регламентируют работу с ПД (Таблица 1).

Согласие на обработку

Законодатель предусматривает, что получение информации осуществляется при согласии человека. Выражается оно в письменной форме. Заполняется документ сотрудников собственноручно. Когда другой человек представляет сведения – необходимо получить согласие от работника.

В законе отражено, что согласие должно быть сознательными и информированным. Дает его человек, о котором предоставляется информация или его представитель. Исключения могут быть отражены в законах. Закон не говорит, что согласие выражается в письменной форме. Такие правила установлены в статье 13.11 КоАП.

Исходя из этой нормы указывают, что в ситуациях, отраженных в законе, получение согласия происходит в письменной форме. Оно необходимо для того, чтобы в возможной спорной ситуации доказать получение сведений на законных основаниях. Письменный документ поможет доказать правоту.

Правило 2. Понимать, какие сведения относятся к ПД

Мы живем в информационном мире, и всю информацию можно разделить на два вида:

Общедоступная — сведения и иная информация,доступ к которой не ограничен.
Информация ограниченного доступа, к которой относятся государственная тайна и конфиденциальная информация, включающая более 40 видов тайн: служебную, коммерческую и др., в том числе персональные данные.

Являются ли Ф.И.О. персональными данными? В каких-то случаях да, в других – нет.

Какие сведения относятся к «персональным данным»?

Любая информация, которая прямо или косвенно относится к физическому лицу.

Таким образом, просто Ф.И.О. не являются ПД, пока нельзя определить, кому они принадлежат. Для того чтобы Ф.И.О. «Иванов Иван Иванович» отнести к персональным данным, требуется наличие конкретного лица, которое можно по этим данным идентифицировать.

Например, Иванов Иван Иванович — генеральный директор ООО «Компания». Здесь мы понимаем, о каком конкретно человеке идет речь, и в данном случае Ф.И.О. относятся к ПД.

Кто утверждает Положение о защите персональных данных

Положение о защите персональных данных работника утверждает руководитель фирмы или уполномоченное им лицо. А вводится в действие этот документ приказом руководителя. Положение о защите персональных данных выглядит так:

Каждый работник, который в силу своих должностных обязанностей имеет доступ к персональным данным других работников, должен подписать обязательство об их неразглашении.

Перечень лиц, которые имеют доступ к персональным данным работника, обычно оформляют в виде приложения к Положению.

В первую очередь это сотрудники кадровой службы, поскольку они собирают и формируют данные о работнике, руководители структурных подразделений (например, главный бухгалтер, начальники отделов). Однако последние вправе запрашивать только те данные, которые необходимы для выполнения конкретных трудовых функций (например, чтобы рассчитать льготы по налогам, бухгалтерия получит не все сведения о работнике, а только данные о количестве его иждивенцев). Оформляют приложение так:

Работодатель обязан ознакомить работника с Положением о защите персональных данных, а работник – расписаться в этом. Факт ознакомления обычно оформляют распиской, которая остается у работодателя. Вот ее образец:

Правило 3. Различать категории ПД

Законодательство выделяет четыре категории ПД:

Общие или общедоступные — известны другим людям и могут быть опубликованы в общедоступных источниках. Это базовые личные данные: Ф.И.О, место жительства / регистрации, сведения об образовании / квалификации, информация о месте работы, номер телефона, e-mail и др.
Специальные — это информация о личности человека. Они отличаются от других категорий тем, что, как правило, находятся в закрытом доступе. Их можно получить только у самого человека или по официальному запросу в поликлинику, правоохранительные органы, суд и т. д. Например, расовая и национальная принадлежность, политические, религиозные и философские взгляды, состояние здоровья, подробности личной жизни, информация о судимостях и др.
Биометрические — это физиологические или биологические особенности человека, которые используют для установления его личности. К этой категории относятся фотографии, дактилоскопические данные, радужная оболочка глаз, группа крови, генетическая информация и т. п.
Иные — это дополнительная информация, которая часто может меняться, и эти данные нельзя отнести к категориям общедоступных, специальных или биометрических данных. Например, корпоративные данные, информация, которая находится в организации: заработная плата, разные виды стажа, периоды отпусков и пр.

Из чего состоят персональные данные

Обрабатываемые персональные данные работника регламентируются Основным Законом РФ, ТК РФ и прочими частями федерального законодательства. В целом документацию по этому вопросу можно условно разделить на две большие категории:

предоставляемая самим работником;
собранная работодателем.

Первая категория предъявляется в момент заключения трудового договора. К таким ПДн работника относятся:

ФИО, номер телефона, адрес проживания, прописки;
идентификационные страховые документы;
трудовая книжка;
пенсионное удостоверение;
документы, подтверждающие основания для предоставления льгот;
дипломы и иные подтверждающие образование и наличие профессии документы;
фотокарточки;
документы относительно воинского учета;
документы, подтверждающие семейное положение и т. д.

Каждый пункт этой категории попадает под основной принцип защиты персональных данных работника – обеспечение максимальной конфиденциальности. Оперировать такими сведениями могут только государственные силовые структуры, исключительно в условиях необходимости и в большинстве случаев – с прямого разрешения работника.

Второй категорией ПДн занимается работодатель. Сюда входят все бумаги, касающиеся карьеры и финансового положения штатных и внештатных сотрудников. Вторая категория отражает любые изменения на рабочем месте сотрудника, фиксацию времени проведения отпусков, больничных листов, базовую ставку (если таковая есть), тарифную сетку на сдельные работы (если таковые есть), сверхурочные, нематериальные поощрения штатного персонала, как индивидуальные, так и групповые. Вся эта информация, за очевидным исключением финансовой, обычно носит меньшую степень конфиденциальности.

Правило 4. Уметь обрабатывать ПД

К обработке ПД относится любое действие или совокупность действий, совершаемых с использованием средств автоматизации или без использования таких средств с ПД, например сбор, систематизация, хранение, использование, передача, уничтожение и др.

Обработка любых категорий ПД допускается с письменного согласия работника.

Обработка общих ПД осуществляется, если:

обработка необходима для достижения целей, предусмотренных законом (например, ст. 24 НК РФ), для осуществления и выполнения возложенных законодательством РФ на работодателя функций, полномочий и обязанностей. Например, передача ПД при перечислении налогов в бюджетную систему РФ, поскольку работодатель является налоговым агентом;
обработка необходима для исполнения трудового договора, стороной которого является работник. Например, передача информации в налоговую инспекцию;
работник предоставил доступ к ПД (либо по его просьбе) для неограниченного круга лиц. Например, работник попросил сделать рассылку о размещении информации о его юбилее.

Обработка специальных категорий ПД происходит в случаях, если:

ПД сделал общедоступными сам работник;
обработка осуществляется в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, законодательством РФ о пенсиях по государственному пенсионному обеспечению, о трудовых пенсиях;
обработка происходит в соответствии с законодательством об обязательных видах страхования, со страховым законодательством.

Обработка биометрических ПД осуществляется без согласия работника:

если фото и записи сделаны на массовых и публичных мероприятиях;
в связи с реализацией международных договоров РФ о реадмиссии — согласии государства на прием обратно на свою территорию граждан, которые подлежат депортации из другого государства;
в случаях, предусмотренных законодательством РФ об обороне, безопасности, противодействии терроризму, транспортной безопасности, противодействии коррупции, оперативно-разыскной деятельности, государственной службе, уголовно-исполнительным законодательством РФ;
в случаях, предусмотренных законодательством РФ о порядке выезда из РФ и въезда в РФ, о гражданстве РФ. Например, работника отправляют в служебную командировку за пределы РФ.

Вместе с тем следует помнить, что при размещении видеокамер нужно учитывать требования законодательства, поскольку скрытое слежение за работником является противоправным.

В разъяснениях Роскомнадзора «О вопросах отнесения фото- и видеоизображения, дактилоскопических данных и иной информации к биометрическим персональным данным и особенности их обработки» указано, что требуется разработка и принятие локального акта, в котором необходимо определить цели установки видеокамер. Также в организации должны быть установлены таблички «Внимание! Ведется видеонаблюдение». Каждого работника следует уведомить об установке камер слежения лично под подпись и в обязательном порядке с работников надо взять письменное согласие на видеозапись на рабочем месте.

Как обрабатываются персональные данные

ПД могут обрабатываться разными способами:

без использования средств автоматизации / неавтоматизированная обработка, если такие действия осуществляются при непосредственном участии человека;
с использованием средств автоматизации, при обработке ПД в информационных системах.

Работодатель должен обеспечить определенную степень защиты ПД в зависимости от категории данных (Таблица 2):

Для использования ПД в автоматизированных системах работодатель должен иметь защищенную IT-инфраструктуру и отслеживать, чтобы ПД всегда были доступны, исключить их потерю и передачу ПД третьим лицам.

Требования к защите

Глава 14 Трудового кодекса предусматривает требования, касающиеся защиты данных. Устанавливается обязанность руководителя во время обработки информации учитывать требования. Целью обработки выступает обеспечение законных положений и содействие человеку в устройстве на работу. Чтобы определить объем сведений, требуется руководствоваться основным законом страны, ТК.

Получение информации допускается только от самого сотрудника. Когда получить ее можно у третьего лица – человек должен заранее сообщить об этом руководству компании. Потребуется подписать согласие. Работодателем не обрабатываются данные, отнесенные к группе специальных. Это сведения об интимной жизни, расе и т. п.

Меры по защите информации принимаются руководством компании. Оплачиваются средствами предприятия. Порядок защиты отражается в законах. Ознакомление сотрудников с документацией, отражающей порядок сбора данных, проводится под подпись.

Установлено, что человек не должен лишаться своих правомочий для того, чтобы сохранить тайну. Выработка мер по защите осуществляется работодателями вместе с сотрудниками. Исключительные ситуации отражаются в законах.

Правило 5. Грамотно оформлять документы по работе с ПД

В ряде случаев, например при размещении ПД работника на сайте организации, для обработки разных категорий ПД требуется письменное согласие работника, которое должно включать в себя:

Ф.И.О. работника, адрес, сведения о документе, удостоверяющем его личность;
наименование (Ф.И.О.) и адрес работодателя, получающего согласие работника на обработку ПД;
цель обработки ПД;
перечень ПД, на обработку которых дается согласие работника;
перечень действий с ПД, на совершение которых дается согласие, общее описание используемых работодателем способов обработки ПД;
срок, в течение которого действует согласие, а также порядок его отзыва;
подпись работника.

В организации должно быть утверждено Положение о защите ПД работников.

Оно регламентирует порядок получения, хранения, использования и защиты ПД, закрепляет права и обязанности работодателя и работников, а также определяет ответственность сторон трудового договора.

Какие сведения указывают в Положении о защите персональных данных

Порядок хранения и использования персональных данных работников фирмы определяет Положение о защите персональных данных. Это обязательный внутренний (локальный) документ фирмы, его разрабатывает кадровая служба.

Закон не установил строгой формы этого документа, но он должен соответствовать требованиям, которые предъявляет к защите персональных данных работника ТК РФ.

В Положении должны быть указаны:

цель и задачи фирмы в области защиты персональных данных;
понятие и состав персональных данных;
в каких структурных подразделениях и на каких носителях (бумажных, электронных) накапливаются и хранятся эти данные;
как происходит сбор персональных данных;
как они обрабатываются и используются;
кто (по должностям) в компании имеет к ним доступ;
как персональные данные защищаются от несанкционированного доступа;
права работника в целях обеспечения защиты своих персональных данных;
ответственность за разглашение конфиденциальной информации, связанной с персональными данными работников.

Правило 6. Знать права работника и обязанности работодателя при работе с ПД

Работодатели, работники и их представители должны совместно вырабатывать меры защиты ПД работников, работники не должны отказываться от своих прав на сохранение и защиту тайны.

В целях обеспечения защиты персональных данных, хранящихся у работодателя, работники имеют право:

на полную информацию об их ПД и обработке этих данных;
свободный бесплатный доступ к своим ПД, включая право на получение копий любой записи, содержащей персональные данные работника, за исключением случаев, предусмотренных федеральным законом;
определение своих представителей для защиты ПД;
доступ к медицинской документации, отражающей состояние их здоровья, с помощью медицинского работника по их выбору;
требование об исключении или исправлении неверных или неполных ПД, а также данных, обработанных с нарушением требований законодательства (при отказе работодателя исключить или исправить ПД работник имеет право заявить в письменной форме работодателю о своем несогласии с соответствующим обоснованием такого несогласия);
дополнение заявлением, выражающим собственную точку зрения работника на ПД оценочного характера;
требование об извещении работодателем всех лиц, которым ранее были сообщены неверные или неполные ПД работника, обо всех произведенных в них исключениях, исправлениях или дополнениях;
ознакомление под подпись с документами работодателя, устанавливающими порядок обработки ПД, а также об их правах и обязанностях в этой области.

Обязанности работодателя

Все ПД работника следует получать у него самого. Если ПД работника возможно получить только у третьей стороны, то у работника нужно взять письменное согласие. При этом работодатель должен сообщить работнику о целях, предполагаемых источниках и способах получения ПД, а также о характере подлежащих получению ПД и последствиях отказа работника дать письменное согласие на их получение.
Работодатель не имеет права получать и обрабатывать сведения о работнике, относящиеся к специальным категориям ПД, за исключением случаев, предусмотренных законодательством, например при назначении пособия по временной нетрудоспособности.
Работодатель не имеет права получать и обрабатывать ПД работника о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных законодательством. Например, если работник исполняет государственные или общественные обязанности, работодатель должен освободить работника на время от работы с сохранением за ним места работы в соответствии со ст. 170 ТК РФ.
При принятии решений, затрагивающих интересы работника, работодатель не имеет права основываться на ПД работника, полученных исключительно в результате их автоматизированной обработки или электронного получения.

При передаче персональных данных работника работодатель должен соблюдать следующие требования:

Не сообщать ПД работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных законодательством. Например, при вызове скорой помощи или передаче информации трудовой инспекции, налоговой и др. при проведении проверки.
Не сообщать ПД работника в коммерческих целях без его письменного согласия.
Разрешать доступ к ПД работников только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те ПД работника, которые необходимы для выполнения конкретных функций.
Предупредить лиц, получающих ПД работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено, например оформить обязательство в письменной форме о неразглашении ПД.
Осуществлять передачу ПД работника в пределах одной организации в соответствии с локальным нормативным актом, с которым работник должен быть ознакомлен под подпись.
Не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции.
Передавать ПД работника представителям работников, например профсоюзам, в порядке, установленном законодательством, и ограничивать эту информацию только теми ПД работника, которые необходимы для выполнения указанными представителями их функций.

Защита ПД работника от неправомерного их использования или утраты должна быть обеспечена работодателем за счет его средств.

Работник имеет право обжаловать в суде любые неправомерные действия или бездействие работодателя при обработке и защите его ПД.

Журналы учета персональных данных

Работодатель обязан соблюдать конфиденциальность при работе с персональными данными работников. Для этого следует вести специальные журналы учета.

Журнал учета внутреннего доступа к персональным данным работников

В журнале учета внутреннего доступа к персональным данным работников указывают: дату выдачи и возврата документов (личных дел) работникам организации; цели выдачи, наименование выдаваемых документов, срок пользования. Если документов было много, и их выдавали по описи, при возврате нужно проверить их наличие по описи. Сотрудник, возвращающий документы, обязан присутствовать при этом. Выдавая документы, предупредите, что делать в них пометки и исправления, вносить новые записи, извлекать документы (например, из личного дела) или помещать новые нельзя.

Журнал учета выдачи персональных данных работников организациям и государственным органам

В журнале учета выдачи персональных данных работников организациям и государственным органам регистрируют: поступающие запросы (дату получения, номер и дату входящего документа, от какого органа получен запрос); дату передачи персональных данных; содержание переданной информации; дату уведомления об отказе в предоставлении информации (в случае такового).

Кроме того, кадровик должен регулярно проверять наличие документов и других носителей информации, содержащих персональные данные работников. Для этого также следует вести специальный журнал.

Правило 7. Учитывать ответственность работодателя за нарушение защиты ПД

В соответствии с Административным регламентом предметом государственного контроля (надзора) за соответствием обработки ПД требованиям законодательства являются:

документы, характер информации в которых предполагает или допускает включение в них ПД;
информационные системы ПД;
деятельность по обработке ПД.

Лица, виновные в нарушении законодательства РФ в области ПД, привлекаются к дисциплинарной и материальной ответственности в соответствии с Трудовым кодексом РФ и иными федеральными законами, а также привлекаются к гражданско-правовой, административной и уголовной ответственности в порядке, установленном федеральными законами (Таблица 3).

Поскольку штрафы за нарушение работы с ПД повышены, работодателю следует внимательнее относиться к обработке данных своих работников и учитывать эти основные правила.

09.04.2021

Уведомление об обработке персональных данных

Согласно ст. 22 Закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных», с 1 июля 2011 года все юридические и физические лица, деятельность которых связана со сбором и обработкой персональных данных (ПД) в электронном виде (оператор ПД), должны уведомить об этом Роскомнадзор. Это госорганы, имеющие дело с персональными данными, практически все работодатели, имеющие кадровую службу, перевозчики, страховщики, банки. Приказом от 19 августа 2011 года № 706 Роскомнадзор утвердил рекомендации по заполнению формы уведомления, а форму утвердило Минкомсвязи России приказом от 21 декабря 2011 года № 346.

Уведомление формируют в виде таблицы на бланке оператора. В отдельном поле указывают полное и сокращенное наименование, организационно-правовую форму, ИНН и адрес оператора. В отдельном – «цели обработки данных», соответствующие уставным задачам и осуществляемой деятельности.

В поле «категории ПД» указывается, какие данные (персональные, биометрические, специальные) подвергаются обработке. В поле «категории субъектов, ПД которых обрабатываются» следует указать эту категорию, например, «работники, состоящие в трудовых отношениях с оператором».

В поле «правовое основание обработки ПД» указываются статьи нормативно-правового акта, касающиеся обработки ПД: например, «ст. 85–90 Трудового кодекса РФ», «ст. 85.1 Воздушного кодекса РФ», «ст. 12 Федерального закона “Об актах гражданского состояния”» и др. В отдельном поле указываются действия оператора и способы обработки ПД (неавтоматизированная, исключительно автоматизированная с передачей полученной информации по сети или без, смешанная).

В поле «дата начала обработки ПД» указываются число, месяц, год фактического начала любого действия.

Если у Вас есть вопрос — задайте его здесь >>

Что подразумевает понятие «персональные данные работника»

Понятие «персональные данные» имеет широкий смысл, его можно толковать объемно, Закон РФ «о персональных данных» включает в состав персональной любой вид информации, которая может иметь отношение к конкретному лицу. В состав персональной информации входят:

ФИО;
адрес проживания и адрес регистрации;
дата и место рождения;
доходы и образование;
семейное положение;
социальный и имущественный статус.

Указанный список не является закрытым, к нему можно отнести иные устные и документальные виды данных, касающихся конкретной личности. Не вся перечисленная информация имеет значение для эффективного исполнения сотрудником профессиональных обязанностей, поэтому в контексте трудовых отношений понятие «персональные данные» имеет более узкий смысл.

В составе персональных данных работника содержится информация, которая каким-либо образом характеризует работника с профессиональной стороны.

Этот вид данных необходимым работодателю в связи с исполнением работником своих трудовых функций в течение оговоренного соглашением срока. Подразумеваются те данные и документы со сведениями, полученные от работника, без которых невозможно провести проверочные мероприятия, оформить его на работу и поручить ему исполнение обязанностей.

Исчерпывающих требований к составу такой информации и конкретного юридического акта — перечня информации, составляющей персональные данные работника, закон не содержит. На практике к обычному перечню документов, кроме личных данных относятся:

приказы о приеме сотрудника на работу;
приказы о поощрениях и наказаниях;
приказы об изменении трудового соглашения, трудовая книжка.

Запрашиваемые работодателем персональные сведения о себе работник может предоставить в устной форме, или в письменной, в качестве ответа на запрос, заполнив специальный документ — анкету.

Персональные данные работника получаются работодателем, а затем хранятся в личном деле работника в течение определенного срока и являются конфиденциальной информацией, поскольку не могут быть распространены и предоставлены третьей стороне без согласия лица, к которому они относятся.

Запрет на незаконное распространение и передачу информации, ее предоставление третьим лицам действует не только в отношении работодателя.

Если работник совершил разглашение персональных данных другого работника, ему грозит наказание, закон допускает и возможность увольнения такого сотрудника.

В случае изменения персональных данных работника, работодатель должен внести изменения в документы учета. Издается приказ, в котором прописываются изменения, этот приказ в установленном порядке регистрируется в книге (журнале) приказов.

Передача персональных данных третьим лицам

Чтобы обеспечить соблюдение норм закона о получении согласия физического лица на обработку и передачу ПД, можно оформить коллективный договор со служащими, в котором перечислить всех третьих лиц с указанием наименований, адресов, срока использования данных. Все работники организации должны этот договор подписать.

Необходимо знать, что законодательство РФ предусматривает передачу персональных данных судебным органам и другим правоохранительным инстанциям без необходимости получения согласия на эти действия.

Как передавать?

Выделяют несколько видов обработки. Передана информация может быть внутри предприятия или за его пределами. Статья 88 ТК отражается правила, соблюдающиеся при передаче. Запрещено сообщать данные третьим лицам или с целью получения денег.

Исключением является угроза жизни или здоровью людей. Подобные случаи могут отражаться в трудовом или ином законе. Требуется предупреждать граждан, которыми получены сведения о работнике, о целях их использования. Цель отражается при сообщении информации.

Руководство организации имеет правомочие удостовериться в том, что указанное требование соблюдается. Лица, которым переданы сведения, берут на себя обязательство по соблюдению режима секретности. Указанные правила не распространяются на ситуации, когда получателем данных стали правоохранительные органы.

Локальные нормативные акты закрепляют правила относительно передачи информации внутри предприятия. Знакомятся граждане с этим актом под подпись. Законодатель установил новое правило. Теперь лица, зарегистрированные в качестве индивидуальных предпринимателей, обязаны издавать локальные нормативные акты, где оговорено как происходит передача данных.

К информации имеют доступ лица, наделенные специальными полномочиями. Они могут получать от сотрудника информацию, которая необходима для работы. Поэтому документация в части может представляться другими лицами. Запрещено отправлять запросы о предоставлении сведений относительно состояния здоровья человека.

Это не касается ситуаций, когда нужно выяснить способен ли работник продолжать свою деятельность. Аналогичные правила распространяются относительно женщин, находящихся в состоянии беременности. Это делают, чтобы понять нужен перевод на другую работу или нет. Переводят будущую маму на место, где нет воздействия вредных факторов.

Передать информацию можно в таком объеме, который требуется для выполнения функций.