Здравствуйте, в этой статье мы постараемся ответить на вопрос: «Порядок работы с персональными данными и ответственность». Также Вы можете бесплатно проконсультироваться у юристов онлайн прямо на сайте.
Статья 86 ТК РФ обязывает работодателя принять локальный нормативный акт (далее – ЛНА), который будет регулировать порядок хранения и использования персональных данных. Таким актом обычно является положение о защите персональных данных работников.
Согласно п. 8 ст. 86 ТК РФ работники должны быть ознакомлены под роспись с таким положением. Если работник принимается на работу и в организации уже есть такое положение, то он знакомится с ним до подписания трудового договора в силу ч. 3 ст. 68 ТК РФ.
Обязательное наличие в организации ЛНА, закрепляющего порядок хранения и использования персональных данных, подтверждается также судебной практикой (см. постановление Мирового судьи Судебного участка № 1 Воробьевского района Воронежской области от 30.06.2017 по делу № 5-209/2017).
Пример положения о защите персональных данных приведен в Приложении.
Согласно п. 1 ст. 22.1 Федерального закона № 152-ФЗ работодателю необходимо назначить лицо, ответственное за обработку персональных данных. Он будет следить за сохранностью персональных данных как на бумажных носителях, так и в электронном виде.
Можно назначить двух ответственных: одного – за работу с персональными данными на бумажных носителях (например, специалиста отдела кадров), другого – за работу с персональными данными в электронном виде (например, системного администратора).
Назначение ответственного лица оформляется приказом (Пример 1). Данная обязанность отражается в должностной инструкции работника.
Шаг 4. Закрепляем права доступа к персональным данным в приказе
Согласно ст. 88 ТК РФ работодатель обязан разрешить доступ к персональным данным работников только специально уполномоченным на это лицам. Необходимо определить, кто работает с персональными данными работников. Именно этим специалистам и необходимо дать доступ к «секретным материалам», оформив приказ (Пример 2).
В приказе согласно закону необходимо отразить, кто (должности, Ф.И.О.), к каким персональным данным и с какой целью (какие функции выполняет с использованием персональных данных работников) имеет доступ; отразить данные о сотрудниках, имеющих доступ к персональным данным как на бумажных носителях, так и в электронном виде.
[1] См. также Куролес И.И. Конфиденциальность информации. Что нужно знать секретарю // Секретарь-референт 2018. № 1. С. 78.
[2] В ред. от 29.07.2017, далее – Федеральный закон № 152-ФЗ.
[3] Пункт 1 части первой ст. 3 Федерального закона № 152-ФЗ.
Ю.Ю. Жижерина, независимый консультант по трудовому праву
Материал публикуется частично. Полностью его можно прочитать в журнале «Секретарь-референт» № 5, 2018.
- Способы защиты документов: прошивка, опломбирование, скрепление сургучной печатью
- Конфиденциальность информации. Что нужно знать секретарю
С 1 июля 2017 года органом, осуществляющим контроль и надзор за соответствием обработки персональных данных требованиям Закона о персональных данных и нормативных правовых актов, является Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) (ст. 23 Закона о персональных данных). Есть плановые проверки, которые Роскомнадзор совершает раз в три года, а есть внеплановые ревизии, и о них не стоит забывать. Они могут быть проведены, к примеру, с целью выяснить, устранила ли компания нарушения, допущенные и выявленные ранее. Кроме того, проверку также стоит ждать, если компания претендует на выполнение госзаказа.
За нарушение порядка получения, обработки, хранения и защиты персональных данных сотрудников предусмотрена дисциплинарная, материальная, административная и уголовная ответственность (ст. 90 ТК РФ, ч. 1 ст. 24 Федерального закона от 27.07.2006 № 152-ФЗ). Разберем каждый вид ответственности.
Содержание:
Организация работы с персональными данными
Eсли вред работнику был причинен по вине лица, которое было ответственно за неразглашение персональных данных, то работодатель может привлечь последнего к материальной ответственности за ущерб, который был нанесен работнику такими действиями. В соответствии с пунктом 7 части 1 статьи 243 ТК РФ материальная ответственность в полном размере причиненного ущерба возлагается на работника в случае разглашения сведений, составляющих охраняемую законом тайну.
С 1 июля статья 13.11 КоАП РФ претерпела значительные изменения и теперь применяется в новой редакции. Был детализирован перечень нарушений в области персональных данных и увеличен размер административной ответственности за них. Теперь новая формулировка статьи 13.11 содержит семь составов правонарушений (вместо одного). Проверяющ ие могут составить отдельный протокол за каждое нарушение и назначить отдельный штраф.
То есть, если до 1 июля 2017 года максимальный штраф по статье 13.11 КоАП РФ составлял 10 тыс. руб. и состав нарушения был одним, то на данный момент размер штрафа увеличен до 75 тыс. руб., и составов преступлений стало семь. Соответственно, за разные нарушения на одну компанию могут наложить несколько разных штрафов.
Кроме того, должностных лиц могут оштрафовать на сумму от 3 000 до 20 000 руб., индивидуальных предпринимателей — на сумму от 5 000 до 20 000 руб., организации — на сумму от 15 000 до 75 000 руб.
Практическая ситуация
В коллективном договоре закреплено, что одним из видов поощрения работников является размещение фотографии работника на Доске почета. Работник обратился к работодателю с требованием не размещать его фотографию для всеобщего обозрения. Какие риски несет работодатель, если разместит фотографию без согласия работника?
Согласно Закону о персональных данных фотографию работника можно отнести к персональным данным. Доска почета, размещенная публично, является общедоступным источником персональных данных. Статья 8 Закона о персональных данных устанавливает, что в общедоступные источники персональных данных сведения о персональных данных могут включаться только с письменного согласия субъекта персональных данных.
То есть работодатель должен перед размещением фотографии на доске почета запросить письменное разрешение работника. Если фотография работника размещена без его согласия, работодатель может быть привлечен к административной ответственности с наложением штрафа до 75 тыс. руб., при этом работник может также потребовать компенсации морального вреда за нарушение его прав.
Если будет установлено, что разглашение персональных данных произошло по вине работника, ответственного за хранение, обработку и использование персональных данных других работников, то его могут привлечь к административной ответственности в виде штрафа (ст. 13.14 КоАП РФ) (за исключением случаев, если такое разглашение влечет уголовную ответственность):
- на граждан — от 500 до 1 000 руб.;
- на должностных лиц — от 4 000 до 5 000 руб.
С работником, допущенным к обработке персональных данных, подписывается обязательство о неразглашении персональных данных.
Можно ли условие о неразглашении персональных данных включать в трудовой договор с работником? Только в отношении тех работников, которые непосредственно работают с персональными данными: кадровиков, бухгалтеров, секретарей и т.п. (ст. 57 ТК РФ). В этом случае при приеме на работу ознакомьте работника с Положением о работе с персональными данными.
Если работник, ответственный за хранение, обработку и использование персональных данных других работников, злоупотреблял своими служебными полномочиями, распространял сведения о частной жизни других работников без их согласия, он может быть привлечен и к уголовной ответственности. Наказывается такое деяние (ст. 137 УК РФ):
- штрафом в сумме до 200 тыс. руб. или в размере заработной платы, либо иного дохода осужденного за период до 18 месяцев;
- либо обязательными работами на срок от 120 до 180 часов;
- либо исправительными работами на срок до одного года;
- либо арестом на срок до четырех месяцев.
Те же деяния, совершенные лицом с использованием своего служебного положения, наказываются (ч. 2 ст. 137 УК РФ):
- штрафом в сумме от 100 тыс. до 300 тыс. руб. или в размере заработной платы, либо иного дохода осужденного за период от одного года до двух лет;
- либо лишением права занимать определенные должности или заниматься определенной деятельностью на срок от двух до пяти лет;
- либо арестом на срок от четырех до шести месяцев.
Что можно порекомендовать работодателям во избежание привлечения к ответственности, а также дополнительных затрат в случае проведения проверок? Обязательно проверьте:
- от всех ли работников получено согласие на обработку персональных данных;
- ознакомлены ли работники с локальными актами, устанавливающими порядок обработки таких данных, и с их правами и обязанностями в этой области;
- должным ли образом осуществляется хранение и защита персональных данных;
- соответствует ли документация об их обработке требованиям законодательства и т.д.
- Что обязан проверить бухгалтер организации при работе с самозанятыми
- Знаковые решения КС РФ и ВС РФ по вопросам трудового законодательства. Обзор
- Должная осмотрительность: алгоритм действий
- Уголовная ответственность бухгалтера: ужесточение контроля и практика
- Налоговые последствия неграмотных договоров
- 5 шагов по организации учета и хранения персональных данных
Как работодателю не налететь на штраф из-за защиты персональных данных
Законодательство в области регулирования работы с персональными данными регулирует отношения, связанные со сбором, хранением, автоматической обработкой и использованием персональных данных. Причем, это законодательство существует как самостоятельное наряду с общим законодательством о защите права на неприкосновенность частной жизни и обеспечивает:
- § защиту персональных данных лиц от несанкционированного доступа к ним со стороны других лиц, в том числе и представителей государственных органов и служб, не имеющих на то необходимых полномочий;
- § обеспечение сохранности, целостности и достоверности данных в процессе работы с ними, в том числе и при передаче по международным телекоммуникациям;
- § обеспечение надлежащего правового режима этих данных при работе с ними для различных категорий субъектов персональных данных;
- § обеспечение контроля за использованием персональных данных со стороны самого субъекта.
Оператор персданных обязан не только установить ответственных за работу с личными сведениями лиц. Необходимо создать условия для организации безопасного доступа к персональным данным, исключения возможности их разглашения. Для этого возложить ответственность за сохранность сведений личного характера на бумаге и в информационных системах на уполномоченных сотрудников путем предоставления доступа.
|
Важно! Параметры допуска фиксируются в ЛНА — подробно расписывается кому какой доступ предоставляется и для каких целей, бывает полным и ограниченным. |
Вид и порядок доступа к персональным данным граждан устанавливается в зависимости от характера ПД, с которыми работает специалист и определяется его функциональными обязанностями. Законодательно обусловленного разделения персонала по видам допусков к личным сведениям нет, кто имеет доступ к конфиденциальной информации, решает сам работодатель.
|
Совет Полным доступом наделяются сотрудники, которым он необходим в силу выполняемых обязанностей. Это главный бухгалтер, начальник отдела кадров, первые лица организации, их заместители — перечень таких должностей определяется внутренним нормативным актом по персональным данным или отдельным приказом. |
В ЛНА закрепляется и перечень лиц с ограниченным допуском, по которому также может быть издан регламентирующий приказ. В нем указываются: должности; перечень конфиденциальной информации, допуск к которой открыт; список разрешенных операций. Ограничение доступа обуславливается спецификой личных сведений, нужных для выполнения трудовых функций конкретному специалисту.
Лица, на которых возложена ответственность за обработку персональных данных в компании, имеют доступ к информационным системам ПДн или к бумажным носителям — исходя из того, как обрабатывается личная информация в организации. Разрабатываются и закрепляются в локальной нормативной документации компании механизмы защиты персданных:
- как обеспечивается сохранность информации при работе в ИСПДн и при ручной обработке ПД;
- какие мероприятия осуществляются для исключения несанкционированного доступа и разглашения информации конфиденциального характера.
Руководствоваться при разработке внутренних документов лицам, имеющим доступ к персональным данным, надо следующими нормативными актами, регламентирующими выполнение операций с личной информацией:
- на бумаге — ПП № 687;
- в ИСПДн — ПП №1119 и Приказ ФСТЭК № 21.
|
Важно! Обработка биометрии нормируется ПП № 512, в нем устанавливаются требования к носителям биометрических ПД и технологиям хранения данных вне ИСПДн. |
Сотрудник, исполняющий обязанности по обработке конфиденциальных сведений, несет ответственность за разглашение персональных данных. При обнаружении таких инцидентов к уполномоченному лицу применяется дисциплинарное взыскание —увольнение.
Соответствует ли защита персональных данных действующему законодательству контролируется Роскомнадзором, Федеральной службой безопасности и Федеральной службой по техническому и экспортному контролю.
Несоблюдение порядка защиты личных данных может повлечь ответственность:
- дисциплинарную;
- гражданско-правовую;
- материальную;
- административную;
- уголовную.
Персональные данные: что грозит за нарушение закона
Работодатель обязан соблюдать определенные требования по обработке этих данных.
Обработка персональных данных в силу ст. 3 Закона № 152-ФЗ – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение данных.
Обратите внимание:
Обработка персональных данных осуществляется с согласия работника (п. 1 ст. 6, ст. 9 Закона № 152-ФЗ). Причем согласие должно быть конкретным, информированным и сознательным и составленным в письменной форме.
Основные требования к работодателю, осуществляющему обработку персональных данных работников, установлены в ст. 86 ТК РФ. И самое первое заключается в том, что такая обработка может осуществляться работодателем исключительно в целях:
- обеспечения соблюдения законов и иных нормативных правовых актов;
- содействия работникам в трудоустройстве, получении образования и продвижении по службе;
- обеспечения личной безопасности работников, контроля количества и качества выполняемой работы;
- обеспечения сохранности имущества.
|
При обработке персональных данных работодатель |
||
|---|---|---|
|
Обязан |
Не имеет права |
|
|
Получать персональные данные у самого работника. Если их можно получить только у третьей стороны, работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие |
Получать и обрабатывать сведения о работнике, относящиеся в соответствии со ст. 10 Закона № 152-ФЗ к специальным категориям персональных данных |
|
|
За счет своих средств обеспечивать защиту персональных данных работника от неправомерного их использования или утраты |
Получать и обрабатывать персональные данные работника о его членстве в общественных объединениях или его профсоюзной деятельности |
|
|
Ознакомить работников и их представителей под подпись с документами, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области |
При принятии решений, затрагивающих интересы работника, основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронным путем |
|
Порядок хранения и использования персональных данных работников устанавливается работодателем с соблюдением требований Трудового кодекса и иных федеральных законов, в частности Закона № 152-ФЗ.
Итак, одно из самых главных правил при обработке персональных данных – работодатель сразу при трудоустройстве работника должен запросить у него письменное согласие на такую обработку. Причем следует запрашивать согласие и лиц, которые только еще претендуют на должность и также предоставляют свои персональные данные при собеседовании, заполнении анкет и других подобных документов.
Особое внимание следует уделять и передаче персональных данных работников третьим лицам. Ее правила установлены в ст. 88 ТК РФ. В частности, работодатель обязан:
- не сообщать персональные данные работника третьей стороне без его письменного согласия, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных Трудовым кодексом или иными федеральными законами;
- не сообщать персональные данные работника в коммерческих целях без его письменного согласия;
- предупредить лиц, получающих персональные данные работника, что данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено;
- осуществлять передачу персональных данных работника в пределах одной организации, у одного индивидуального предпринимателя в соответствии с локальным нормативным актом, с которым работник должен быть ознакомлен под подпись;
- разрешать доступ к персональным данным работников только специально уполномоченным лицам, причем они должны иметь право получать лишь те данные работника, которые необходимы для выполнения конкретных функций;
- не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции;
- передавать персональные данные работника представителям работников в порядке, установленном Трудовым кодексом и иными федеральными законами, и ограничивать эту информацию только теми данными работника, которые необходимы для выполнения указанными представителями их функций.
К случаям, когда согласие работника на передачу персональных данных не требуется, относится передача определенных сведений о работнике в ФСС, ПФР, налоговые органы, военные комиссариаты, прокуратуру, правоохранительные органы, ГИТ, банк, обслуживающий банковские карты работников, и др.
В заключение рекомендуем работодателям еще раз проверить, пока изменения не вступили в силу, от всех ли работников получено согласие на обработку персональных данных, ознакомлены ли работники с локальными актами, устанавливающими порядок обработки таких данных, и с их правами и обязанностями в этой области, должным ли образом осуществляется хранение и защита персональных данных, соответствует ли документация об их обработкетребованиям законодательства и т. д.
Причем привлечь к административной ответственности могут за нарушения, допущенные при обработке и передаче персональныхданных не только работников, но и граждан, которым организация оказывает различные услуги. Как работники, так иэти лица могут обратитьсяв суд с гражданским иском.
Также не следует забывать, что в случаях, когда действия должностных лиц принарушении в обработке персональных данных привели к серьезным последствиям, может наступить и уголовная ответственность.
Е. В. Давыдова , эксперт журнала
«Отдел кадров коммерческой организации» № 6, июнь, 2017 год.
Всё, что происходит с ПДн — это обработка:
- передача по сети;
- запись;
- хранение;
- извлечение;
- изменение;
- обезличивание;
- анализ;
- удаление.
Сбор — это тоже обработка.
Обработка бывает трех видов:
- Автоматизированная — с помощью СВТ (средств вычислительной техники). Это компьютеры, телефоны и другие электронные устройства, базы данных, криптографические средства защиты, программы, скрипты.
- Смешанная — обработка человеком при участии СВТ. Например, когда в бухгалтерии вбивают в программу данные из бумажного заявления на отпуск.
- Неавтоматизированная — без автоматизации.
Условия. Как и сбор, обработка ПДн должна проходить с разрешения субъектов. Для обработки должны быть четкие цели, например, для рассылки. В соответствии с целями, можно обрабатывать только ограниченный набор данных и не больше. Например, для рассылки не нужны паспортные данные и ИНН.
Исключения. Разрешение не обязательно в тех же исключительных случаях, что и для сбора. Но есть и дополнительные, например:
- разрешение не обязательно госорганам: для предоставления госуслуг, в судопроизводстве, и в других случаях, когда этого требует закон;
- при неавтоматизированной обработке;
- когда человек сам опубликовал свои данные публично;
- когда все данные — это только ФИО.
Опять же, на большинство ресурсов в интернете исключения не распространяются.
Персональными данными является любая информация, прямо или косвенно относящаяся к субъекту персональных данных — определенному или определяемому физическому лицу (ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», далее — Закон о персональных данных).
К общим персональным данным можно отнести следующие сведения:
- фамилия, имя, отчество;
- дата и место рождения;
- адрес (место регистрации);
- образование, профессия;
- изображение человека (фотография и видеозапись), которое позволяет установить личность и с этой целью используется оператором (Разъяснения Роскомнадзора от 30 августа 2013 года «О вопросах отнесения фото- и видео- изображения, дактилоскопических данных и иной информации к биометрическим персональным данным и особенности их обработки»);
- семейное положение, наличие детей, родственные связи;
- факты биографии и предыдущая трудовая деятельность (место работы, судимость, служба в армии, работа на выборных должностях, на государственной службе и др.);
- финансовое положение. Сведения о заработной плате также являются персональными данными (письмо Роскомнадзора от 07.02.2014 № 08КМ-3681);
- деловые и иные личные качества, которые носят оценочный характер;
- прочие сведения, которые могут идентифицировать человека.
Кроме того, в Законе о персональных данных упоминаются:
- специальные персональные данные (касаются расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни). По общему правилу обработка этих данных не допускается. Исключение — случаи, предусмотренные частью 2 статьи 10 Закона о персональных данных;
- биометрические персональные данные (характеризуют физиологические и биологические особенности человека, на основании которых можно идентифицировать его личность). Для обработки таких сведений необходимо согласие субъекта персональных данных. Исключение — случаи, установленные ч. 2 ст. 11 Закона о персональных данных.
Работодатель вправе получать и использовать только те сведения, которые характеризуют гражданина как сторону трудового договора (например, сведения о социальном и имущественном статусе человека не имеют отношения к его трудовому процессу). Эта информация содержится в следующих документах, предъявляемых работником при приеме на работу:
- в паспорте или ином документе, удостоверяющем личность;
- трудовой книжке;
- документах о воинском учете, образовании, составе семьи;
- справке о доходах с предыдущего места работы;
- анкете, заполняемой при трудоустройстве;
- личной карточке работника (форма Т-2);
- свидетельствах о заключении брака, рождении ребенка;
- медицинских справках и др.
У работодателя хранятся копии перечисленных документов, за исключением анкет, трудовых книжек и личных карточек.
Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение данных (ст. 3 Закона о персональных данных).
Закон о персональных данных обязывает работодателя соблюдать определенные требования по обработке этих данных. Например, обработка персональных данных осуществляется только с согласия работника (п. 1 ст. 6, ст. 9 Закона о персональных данных). Во избежание судебных споров лучше, если это согласие будет оформлено письменно. То же самое правило действует в отношении соискателей.
Работодатель должен обеспечивать защиту персональных данных работника от неправомерного их использования или утраты за счет своих средств (п. 7 ст. 86 ТК РФ).
Разберем пошагово действия работодателя по учету и хранению персональных данных в организации.
Шаг 1. Работодатель должен издать локальный акт, который будет регулировать порядок хранения и использования персональных данных. Таким актом обычно является Положение о персональных данных работников, с которым работники должны быть ознакомлены под подпись (п. 8 ст. 86 ТК РФ).
Ознакомиться с Положением о персональных данных, как и с остальными локальными нормативными актами, работник должен до подписания трудового договора (ст. 68 ТК РФ). Ознакомить работника с документом путем рассылки его по электронной почте нельзя, это не будет считаться ознакомлением под подпись.
При отсутствии подписи работника работодатель не сможет доказать, что работник был ознакомлен с данным документом.
Согласно пункту 1 статьи 3 ФЗ № 152, под персональными данными следует понимать любые сведения, которые относятся к конкретному человеку или позволяют идентифицировать его среди других людей.
Важно помнить, что речь идет только о физических лицах — именно их статья 3 ФЗ № 152 именует субъектами персональных данных.
Сведения об организациях, органах власти, обезличенная статистическая или аналитическая информация к категории персональных данных не относятся.
Часть 2 статьи 5 ФЗ № 152 определяет, что личные данные граждан должны собираться только для достижения целей, указанных в действующем законодательстве. Полный перечень таких случаев содержится в части 1 статьи 6 того же закона. Так, в рамках хозяйственной деятельности организации сбор личных данных может проводиться:
- Для исполнения договоров или иных соглашений, по которым гражданин является стороной, поручителем или бенефициаром.
- Для защиты жизни, здоровья и иных значимых интересов гражданина.
- В целях соблюдения прав и интересов оператора, а также третьих лиц в случаях, указанных в законодательстве. Например, статьи 4, 5 закона «О защите…» от 03.07.2016 № 230-ФЗ допускают сбор и использование личных данных должника без его разрешения для обеспечения взыскания кредиторской задолженности, как самому кредитору, так и лицам, действующим от его имени.
- В иных ситуациях по просьбе или с разрешения гражданина.
Также практикам необходимо учитывать, что (статья 5 ФЗ № 152):
- объем и характер собираемой информации должны соответствовать поставленной цели;
- недопустимо объединение между собой данных, сбор которых осуществляется для различных целей;
- хранение личной информации граждан должно выполняться в течение определенного законом времени либо разумного срока, требуемого для достижения цели оператора данных (при этом в последующем информация должна быть удалена либо обезличена, если необходимости в таком хранении больше нет).
Как организовать работу с персональными данными сотрудников
Правовой основой для работы сотрудников организаций с личными данными граждан являются нормы статьи 18.1 ФЗ № 152, которая определяет перечень мероприятий для выполнения обязанностей по соблюдению прав граждан в части обработки их личных данных.
К таковым мерам, в частности, следует отнести:
- назначение сотрудника, который будет нести ответственность и осуществлять контроль за деятельностью других работников по соблюдению норм ФЗ № 152 в конкретной организации;
- издание правового акта (инструкции, приказа, положения), который определяет основные правила работы с личными данными в организации;
- применение технических или организационных мер для защиты личной информации о гражданах: учет носителей личной информации, регламентирование доступа к ним, использование программ, обеспечивающих защиту машинных носителей информации, и т. д.;
- осуществление внутреннего контроля за обработкой личных данных;
- проведение инструктажа, ознакомления работников с правилами обработки персональных данных.
Часть 4 статьи 18.1 ФЗ № 152 указывает, что организации необходимо представить по запросу контрольно-надзорных органов документы и локальные акты (инструкцию, положение, приказ и т. д.
) либо подтвердить иным способом принятие мер, направленных на защиту прав и интересов граждан, чьи данные подлежат обработке. Более того, часть 2 статьи 18.
1 ФЗ № 152 обязывает организацию обеспечить доступ к данным документам всех заинтересованных лиц.
В случае обработки личных данных с помощью автоматизированных систем организации следует также руководствоваться требованиями, утвержденными постановлением Правительства РФ «Об утверждении…» от 01.11.2012 № 1119. Согласно пунктам 3 и 4 обозначенных требований, обязанности по безопасной обработке персональных данных при помощи компьютерной техники возлагаются на организацию.
В процессе работы кадровая служба копит и хранит сведения о сотруднике, заключенные в следующих документах:
| Документы | Какие персональные данные в них содержатся |
| Резюме, анкета, автобиография, личный листок по учету кадров | Личные качества, биографические данные |
| Копия удостоверения личности | ФИО, дата и место рождения, адрес регистрации, семейное положение, реквизиты самого удостоверения |
| Личная карточка № Т-2 | Дополнительно к данным удостоверения личности указывается состав семьи и образование |
| Трудовая книжка | Трудовой стаж, места работы |
| Копии свидетельств о заключении брака, рождении детей | Сведения о составе семьи |
| Документы воинского учета | Отношение работника к воинской обязанности |
| Справка о доходах с предыдущего места работы | Уровень заработка на предыдущем месте трудоустройства |
| Документы об образовании | Уровень образования |
| СНИЛС, ИНН | Индивидуальные номера гражданина в системе пенсионного страхования и для налоговых органов |
| Трудовой договор | Должность, заработная плата, место работы |
| Приказы по личному составу и их копии | Информация о приеме, переводе, повышении, увольнении |
1.1. Настоящее Положение регулирует отношения, связанные с обработкой персональных данных, включающие в себя производимые Работодателем действия по получению, хранению, комбинированию, передаче персональных данных Работника или иному их использованию, с целью защиты персональных данных Работника от несанкционированного доступа, а также неправомерного их использования и утраты.
1.2. Положение разработано в соответствии с Конституцией Российской Федерации, Трудовым кодексом Российской Федерации, Федеральным законом «Об информации, информационных технологиях и о защите информации» N 149-ФЗ от 27.07.2006 года, Федеральным законом «О персональных данных» N 152-ФЗ от 27.07.2006 года и другими определяющими случаи и особенности обработки персональных данных нормативно-правовыми актами.
4.1. При передаче персональных данных работника Работодатель должен соблюдать следующие требования:
— не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо, в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных Трудовым кодексом или иными федеральными законами;
— не сообщать персональные данные работника в коммерческих целях без его письменного согласия;
— предупредить лиц, получающих персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные работника, обязаны соблюдать режим секретности (конфиденциальности);
— осуществлять передачу персональных данных работника в пределах организации в соответствии с локальным нормативным актом, с которым работник должен быть ознакомлен под роспись;
— разрешать доступ к персональным данным работников только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные работника, которые необходимы для выполнения конкретных функций;
— не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции;
— передавать персональные данные работника представителям работников в порядке, установленном настоящим Кодексом и иными федеральными законами, и ограничивать эту информацию только теми персональными данными работника, которые необходимы для выполнения указанными представителями их функций.
5.1. В целях обеспечения защиты персональных данных, хранящихся у Работодателя, работники имеют право на:
Полную информацию об их персональных данных и обработке этих данных, в том числе содержащей:
— подтверждение факта обработки персональных данных Работодателем;
— правовые основания и цели обработки персональных данных;
— цели и применяемые Работодателем способы обработки персональных данных;
— сроки обработки персональных данных, в том числе сроки их хранения;
— информацию об осуществленной или о предполагаемой трансграничной передаче данных;
— свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные работника, за исключением случаев, предусмотренных федеральным законом;
— определение своих представителей для защиты своих персональных данных;
— доступ к относящимся к ним медицинским данным с помощью медицинского специалиста по их выбору;
— требование об исключении или исправлении неверных или неполных персональных данных, а также данных, обработанных с нарушением требований Трудового кодекса или иного федерального закона. При отказе Работодателя исключить или исправить персональные данные работника он имеет право заявить в письменной форме Работодателю о своем несогласии с соответствующим обоснованием такого несогласия. Персональные данные оценочного характера работник имеет право дополнить заявлением, выражающим его собственную точку зрения;
— требование об извещении работодателем всех лиц, которым ранее были сообщены неверные или неполные персональные данные работника, обо всех произведенных в них исключениях, исправлениях или дополнениях;
— обжалование в суд любых неправомерных действий или бездействия Работодателя при обработке и защите его персональных данных.
6.1. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных работника, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном Трудовым кодексом и иными федеральными законами, а также привлекаются к гражданско-правовой, административной и уголовной ответственности в порядке, установленном федеральными законами.
6.2. Моральный вред, причиненный работнику вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных федеральным законодательством, а также требований к защите персональных данных подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных работником убытков.
7.1. Настоящее Положение вступает в силу с момента его утверждения.
7.2. Работодатель обеспечивает неограниченный доступ к настоящему документу.
7.3. Настоящее Положение доводится до сведения всех работников персонально под роспись.
С Положением ознакомлены:
|
N |
Ф. И. О. работника |
Дата |
Подпись |
|
1 |
2 |
3 |
4 |
- Свежие
- Посещаемые
Ответственность за нарушение закона о персональных данных
При передаче персональных данных работника работодатель должен соблюдать следующие требования:
не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных настоящим Кодексом или иными федеральными законами;
(в ред. Федерального закона от 30.06.2006 N 90-ФЗ)
не сообщать персональные данные работника в коммерческих целях без его письменного согласия;
предупредить лиц, получающих персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные работника, обязаны соблюдать режим секретности (конфиденциальности). Данное положение не распространяется на обмен персональными данными работников в порядке, установленном настоящим Кодексом и иными федеральными законами;
(в ред. Федерального закона от 30.06.2006 N 90-ФЗ)
осуществлять передачу персональных данных работника в пределах одной организации, у одного индивидуального предпринимателя в соответствии с локальным нормативным актом, с которым работник должен быть ознакомлен под роспись;
(в ред. Федерального закона от 30.06.2006 N 90-ФЗ)
разрешать доступ к персональным данным работников только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные работника, которые необходимы для выполнения конкретных функций;
не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции;
передавать персональные данные работника представителям работников в порядке, установленном настоящим Кодексом и иными федеральными законами, и ограничивать эту информацию только теми персональными данными работника, которые необходимы для выполнения указанными представителями их функций.
(в ред. Федерального закона от 30.06.2006 N 90-ФЗ)
В целях обеспечения защиты персональных данных, хранящихся у работодателя, работники имеют право на:
полную информацию об их персональных данных и обработке этих данных;
свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные работника, за исключением случаев, предусмотренных федеральным законом;
определение своих представителей для защиты своих персональных данных;
доступ к относящимся к ним медицинским данным с помощью медицинского специалиста по их выбору;
требование об исключении или исправлении неверных или неполных персональных данных, а также данных, обработанных с нарушением требований настоящего Кодекса или иного федерального закона. При отказе работодателя исключить или исправить персональные данные работника он имеет право заявить в письменной форме работодателю о своем несогласии с соответствующим обоснованием такого несогласия. Персональные данные оценочного характера работник имеет право дополнить заявлением, выражающим его собственную точку зрения;
(в ред. Федерального закона от 30.06.2006 N 90-ФЗ)
требование об извещении работодателем всех лиц, которым ранее были сообщены неверные или неполные персональные данные работника, обо всех произведенных в них исключениях, исправлениях или дополнениях;
обжалование в суд любых неправомерных действий или бездействия работодателя при обработке и защите его персональных данных.
Согласно пункту 1 статьи 3 ФЗ № 152, под персональными данными следует понимать любые сведения, которые относятся к конкретному человеку или позволяют идентифицировать его среди других людей. Важно помнить, что речь идет только о физических лицах — именно их статья 3 ФЗ № 152 именует субъектами персональных данных. Сведения об организациях, органах власти, обезличенная статистическая или аналитическая информация к категории персональных данных не относятся.
Исчерпывающего перечня сведений, которые можно отнести к личным данным гражданина, действующее законодательство не содержит, однако анализ статьи 8 ФЗ № 152 позволяет причислить к таковым:
- имя, фамилию и отчество;
- дату и место рождения;
- номер телефона;
- адрес пребывания;
- данные об образовании и профессии;
- сведения о семейном, имущественном положении, доходах и т. п.
Любые ограничения и меры по защите личной информации о человеке, согласно статье 2 ФЗ № 152, принимаются исключительно в целях соблюдения его прав и свобод на личную и семейную тайну, неприкосновенность частной жизни и т. д. При этом нормативному регулированию, согласно статье 1 ФЗ № 152, подлежат отношения, которые возникают в организациях в связи со сбором и обработкой личных данных человека как в письменной, так и в электронной форме. Организация (юридическое лицо, орган государственной и муниципальной власти), которой в силу своей деятельности необходимо осуществлять обработку персональных сведений о гражданах, признается в силу статьи 3 ФЗ № 152 оператором персональных данных. Обработка включает в себя любые операции, проводимые вручную или при помощи компьютерной техники, направленные на сбор, уточнение, хранение и последующие обезличивание и уничтожение собранной информации.
В случае обработки личных данных с помощью автоматизированных систем организации следует также руководствоваться требованиями, утвержденными постановлением Правительства РФ «Об утверждении…» от 01.11.2012 № 1119. Согласно пунктам 3 и 4 обозначенных требований, обязанности по безопасной обработке персональных данных при помощи компьютерной техники возлагаются на организацию.
Перечни мер, которые могут быть использованы для защиты данных, утверждаются соответствующими документами Правительства РФ и Роскомнадзора. К таковым, в частности, можно отнести:
- постановление Правительства РФ «Об утверждении…» от 06.07.2008 № 512, которое регламентирует порядок работы с биометрическими персональными данными;
- приказ Роскомнадзора «Об утверждении…» от 05.09.2013 № 996, определяющий методы обезличивания таких данных.
Необходимость применения конкретных мер для защиты информации определяется пунктами 6 и 7 обозначенных Требований исходя из степени ее важности, а также уровня потенциального вреда гражданам, который может быть нанесен при несанкционированном доступе к таким данным.
Пункт 1 ст. 3 Закона о персональных данных содержит довольно широкое определение, согласно которому персональные данные — это любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его:
- фамилия;
- имя;
- отчество;
- год, месяц, дата и место рождения;
- адрес;
- семейное, социальное, имущественное положение;
- образование;
- профессия;
- доходы;
- другая информация.
Как видно, данный перечень не является исчерпывающим, следовательно, и иная информация, характеризующая человека, может быть отнесена к его персональным данным.
Что об этом говорит ТК РФ? В соответствии со ст. 85 ТК РФ персональные данные работника — информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного работника. Четкого перечня персональных данных работника ТК РФ не содержит. Однако для трудовых отношений в общем перечне сведений, являющихся персональными данными, ТК РФ выделяет именно те, которые характеризуют человека в качестве работника. Как правило, эти данные необходимы для заключения трудового договора, заполнения личной карточки работника, формирования личного дела, предоставления работнику определенных льгот, выполнения работодателем иных функций, возложенных на него законодательством (уплата взносов на обязательное пенсионное страхование, налогов), и пр.
Пример 1. Иванову М.Ю. при устройстве на работу к индивидуальному предпринимателю предложили заполнить анкету, в которой он должен был указать свое социальное положение, доход, жилищные условия. Однако указанные сведения не могут характеризовать его как работника, соответственно, в контексте трудового законодательства они не являются персональными данными работника.
Статья 87 ТК РФ устанавливает, что порядок хранения и использования персональных данных определяется работодателем самостоятельно. Хранение персональных данных осуществляется в документированном виде. Персональные данные работника содержатся в следующих документах:
- в документе, удостоверяющем личность работника;
- в трудовой книжке;
- в страховом свидетельстве обязательного пенсионного страхования;
- в документах воинского учета;
- в документах об образовании, квалификации или специальной подготовке;
- в иных документах, представляемых работником (резюме, справки, характеристики, грамоты и пр.);
- в докладных, служебных записках;
- в материалах служебных проверок и расследований.
Основные документы, в которых содержатся персональные данные, объединяются в личное дело, порядок ведения и хранения которого устанавливается работодателем. Отметим также иные документы, регламентирующие сроки хранения носителей, содержащих персональные данные работников.
Так, персональные данные о трудовой деятельности и трудовом стаже содержатся в трудовой книжке. Порядок хранения трудовых книжек установлен Правилами ведения и хранения трудовых книжек, изготовления бланков трудовой книжки и обеспечения ими работодателей (утв. Постановлением Правительства РФ от 16.04.2003 N 225).
Формы первичной учетной документации по учету труда и его оплаты утверждены Постановлением Госкомстата России от 05.01.2004 N 1 «Об утверждении унифицированных форм первичной учетной документации по учету труда и его оплаты». В соответствии с данным Постановлением работодатель осуществляет хранение этих документов, содержащих в том числе и персональные данные работников.
Нередко перед работодателем встает вопрос о передаче персональных данных того или иного работника. Статья 88 ТК РФ устанавливает ряд правил, которыми необходимо руководствоваться при передаче персональных данных.
Прежде всего передача персональных данных третьей стороне возможна лишь с письменного согласия работника. Исключение составляют случаи, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника (а также в иных случаях, предусмотренных ТК РФ и иными федеральными законами).
Примерами указанных исключений является информирование ряда госорганов о несчастном случае на производстве (ст. 228 ТК РФ), передача персональных данных в соответствии с действующим законодательством в:
- Пенсионный фонд РФ;
- Федеральную инспекцию труда;
- налоговые органы;
- Фонд социального страхования РФ;
- органы государственного контроля и надзора за соблюдением законов о труде.
Персональные данные — информация не для свободного доступа. В связи с этим лица, которым переданы персональные данные, должны использовать полученную информацию исключительно в целях, для которых она была сообщена, и соблюдать режим секретности (конфиденциальности) информации.
Закон о персональных данных устанавливает перечень прав субъектов персональных данных, к которым в том числе относятся и работники. В контексте трудовых отношений права работников в целях обеспечения защиты персональных данных, хранящихся у работодателя, конкретизирует ст. 89 ТК РФ. Итак, работники наделены следующими правами:
- Получать полную информацию об их персональных данных, хранящихся у работодателя, и об обработке этих данных. В целях реализации заявленного права работника работодатель обязан ознакомить его с документами (положением, инструкцией, приказом), регламентирующими порядок работы с персональными данными. Иметь свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные. Однако указанное право работника совсем не означает, что он в любой удобный для него момент может прийти и полистать свое личное дело. Согласно ст. 14 Закона о персональных данных работник как субъект персональных данных может получить доступ к своим персональным данным на основании запроса. Отказ в предоставлении информации должен быть мотивирован и выдается работнику в письменном виде в срок, не превышающий 7 рабочих дней со дня обращения или даты получения запроса (ст. 20 Закона о персональных данных). Подробный порядок может быть прописан в локальном нормативном акте. Напомним, что в соответствии со ст. 62 ТК РФ копии документов, связанных с работой, выдаются работнику не позднее трех рабочих дней со дня подачи письменного заявления.
- Определять своих представителей для защиты своих персональных данных (представителем работника может быть не только профсоюз, но и физическое или юридическое лицо).
- Иметь доступ к относящимся к ним медицинским данным с помощью медицинского специалиста по их выбору.
- Требовать исключить или исправить неверные или неполные персональные данные, а также данные, обработанные с нарушением требований законодательства (например, данные были получены без согласия работника, и через некоторое время работник случайно узнал о том, что в них содержится ошибка). Требование следует оформлять в письменном виде. Если же работодатель откажет в выполнении данного требования, то работник вправе также в письменной форме заявить о своем несогласии с его обоснованием. С отказом в исправлении или исключении персональных данных работника необходимо ознакомить под роспись. Возможные дальнейшие варианты разрешения данного разногласия — продолжение переговоров или обращение работника в суд.
При выявлении недостоверных персональных данных работодатель должен их заблокировать (т.е. приостановить всякие действия по обработке данных). Затем необходимо подтвердить факт недостоверности и уточнить персональные данные (ст. 21 Закона о персональных данных).
Персональные данные оценочного характера (например, характеристику, в которой отмечены его профессиональные навыки) работник вправе дополнить заявлением, выражающим его собственную точку зрения.
- Требовать извещения работодателем всех лиц, которым ранее были сообщены неверные или неполные персональные данные, обо всех произведенных в данных исключениях исправлениях и дополнениях. Оперируя недостоверной информацией, третьи лица могут нанести существенный вред работнику. Например, неточные сведения, переданные в Пенсионный фонд РФ, могут привести к уменьшению размера пенсии.
- Обратиться в суд для обжалования любых неправомерных действий или бездействий работодателя при обработке и защите персональных данных.
Персональные данные: как работать по закону?
В соответствии со ст. 13.11 КоАП РФ нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) влечет предупреждение или наложение административного штрафа на граждан в размере от 3 до 5 МРОТ, на должностных лиц — от 5 до 10 МРОТ, на юридических лиц — от 40 до 50 МРОТ. За нарушение правил защиты информации административная ответственность предусмотрена ст. 13.12 КоАП РФ.
Помимо этого, ст. 13.14 КоАП РФ предусматривает, что разглашение информации, доступ к которой ограничен федеральным законом, лицом, получившим доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей, влечет наложение административного штрафа на граждан в размере от 5 до 10 МРОТ, на должностных лиц — от 40 до 50 МРОТ.
- Первым делом оператор должен обеспечить изоляцию места, где хранятся ПДн. Согласно положениям профильного закона, ограничение доступа является обязательным условием для организации рабочих мест сотрудников, работающих с ПДн.
- Работники, имеющие доступ к ПДн, должны пройти инструктаж по работе с конфиденциальной ведомостями и выполнять функции в соответствии с должностной инструкцией. Кроме этого, сохранность ПДн должна стать личной ответственностью должностных лиц оператора.
- Рабочее место необходимо оборудовать так, чтобы свести к минимуму возможность просмотра конфиденциальной информации третьими лицами (это следует учитывать при планировке). Стеллажи с документами стоит размещать вдоль стен, желательно, чтобы сотрудник, ответственный за обработку, имел возможность видеть их как можно чаще.
- В месте обработки желательно установить сейф для хранения.
- Если обработкой занимается несколько человек, столы следует устанавливать на расстоянии от 1,2 метра, дабы исключить случайное прочтение ПДн, или воспользоваться искусственными перегородками, высотой 1,5-2 метра.
- Сотрудника желательно обеспечить специализированным инструментарием (лотками для корреспонденции) для эффективного использования свободного пространства на столе.
Согласно Федеральному закону 152-ФЗ от 27 июля 2006 года «О защите персональных данных» вся информация, получаемая работодателями, учреждениями, компаниями, соцсетями, продавцами от сотрудников и клиентов подлежит тщательному хранению. За передачу ПД третьим лицам предусмотрена административная и, в редких случаях, уголовная ответственность. При этом для получения любой частной информации должен быть назначен уполномоченный человек, который будет заниматься обработкой полученных данных и обеспечит их сохранность.
Собирать персональные данные можно только с согласия от опрашиваемого человека. При этом устного разрешения зачастую будет недостаточно – лучше потратить время и подписать небольшое соглашение или предусмотреть поле с требованием поставить галочку (если это интернет-ресурс) о согласии на обработку переданных ПД, чем в дальнейшем доказывать свою правоту.
Что же касается предмета закона, то под понятием персональных данных стоит понимать информацию, которая относится к конкретному человеку и помогает определять его личность.
Российское законодательство определяет как минимум 6 основных категорий персональных данных:
- Общие или общедоступные. Это данные, которые не относятся к конфиденциальным. Найти их можно в общедоступных базах, справочниках, адресных книгах. Чаще всего такая информация находится в свободном доступе в соцсети. К таким данным относят: ФИО, место жительства или регистрации, место работы или вид занятости, номер телефона.
- Специальные. Это такие данные, которые чаще всего находятся в закрытом доступе, а для их обработки нужно получить личное письменное согласие субъекта. К подобному виду информации относят данные о судимости, национальной принадлежности, личной жизни, состоянии здоровья, политических взглядов, религиозных убеждений. Узнать все это можно только лично от человека, или сделать официальный запрос в уполномоченную службу. Однако если дело касается правонарушений и информация нужна для следствия, тогда запрос на получение информации передается уполномоченным лицом под его личную ответственность.
- Биометрические. Это ряд данных, которые определяют физиологические или биологические особенности человека и применяются, чтобы установить личность. К биометрическим данным относятся:
- фотография;
- отпечаток пальца или сетчатка глаза;
- зубная карта;
- группа крови;
- запись образца голоса;
- другая генетическая информация.
При этом важно помнить, вся эта информация является биометрической, если используется для идентификации личности, а не общего сбора данных о человеке.
- Персональные данные работников. Сюда входит вся та информация, которую получает работодатель о своем сотруднике в процессе трудового взаимодействия. Эти данные защищаются дополнительно статьями ТК РФ.
- Персональные данные в интернете. Вся дополнительная информация, получаемая собственниками электронных ресурсов при работе с сайтом: почта, IP-адрес, геолокация, информация о действиях на странице, полученные и отправленные файлы.
- Иные или дополнительные данные. Чаще всего к этой группе относят информацию, которая имеет свойство меняться и не носит особой важности или секретности. В эту категорию можно отнести информацию о членстве в обществе или о занятии определенным видом спорта.
Ответственность за защиту данных несет оператор персональных данных. Это может быть любая компания, которая занимается сбором, хранением или обработкой информации. Компания назначает ответственное лицо – ему передаются полномочия по работе с ПД конкретной категории (клиенты, сотрудники, партнеры и др.). В случае утечки информации в первую очередь виновным будет тот, кто отвечал за данные по конкретной категории.