Определение

Что это – защита персональных данных? Гарантии сотрудника, закрепленные в трудовом праве, относительно сохранения конфиденциальности предоставленной им информации. Также это – система мероприятий в конкретной организации, обеспечивающая защиту сведений о работнике.

Когда человек вступает в трудовые отношения, от него требуется предоставить ряд сведений о себе. Вся эта информация, касающаяся будущего сотрудника, позволяющая определить его в том или ином контексте, и объединяется под термином «персональные данные».

https://www.youtube.com/watch?v=ytpressru

Порядок действий с этой информацией определен в таких законодательных документах, как:

  • Конституция Российской Федерации;
  • ст. 85 Трудового кодекса РФ;
  • Федеральный закон № 149 от 27 июля 2006 г. «Об информации, информационных технологиях и о защите информации»;
  • Федеральный закон № 152 от 27 июля 2006 г. «О персональных данных»;
  • Указ Президента России от 06.03.1977 г. № 188.

Эти законодательные акты утверждают сведения, которые подпадают под определение персональных данных, с тем, чтобы оградить приватную жизнь законопослушных граждан от неправомерного вмешательства и гарантировать целевое использование получаемых от них конфиденциальных сведений.

Перечень данных, считающихся персональными:

  • ФИО физического лица;
  • дата рождения;
  • место проживания и/или прописки;
  • полученное человеком образование;
  • состав семьи;
  • социальный статус;
  • сведения, касающиеся владения имуществом;
  • ранее занимаемые им должности;
  • уровень получаемых доходов и их источники;
  • иные сведения, имеющие отношение к трудовой функции, обозначаемой в заключаемом договоре с сотрудником.

КСТАТИ! Информация о политических, религиозных или других убеждениях сотрудника, его участии во всевозможных организациях, помимо работы, а также детали его частной жизни не относятся к персональным данным и не подлежат сбору, обработке, хранению и использованию. Их можно получить только с согласия самого работника. Исключение составляет ситуация, когда информация такого рода прямо относится к трудовой деятельности.

Вопросы здоровья сотрудника не могут попадать в поле зрения кадровых сотрудников, кроме непосредственного влияния на трудовую функцию.

Правила работы с персональными данными работника

Закон устанавливает жесткие меры за нарушения, связанные с персональными данными. Поэтому важно знать правила работы с ними.

Обработка

Работодатель и персональные данные сотрудников

Под обработкой данных понимается их получение, проверка, передача, хранение, накопление, уничтожение и другие действия, совершаемые с ними. Требования к обработке данных зафиксированы в 86 статье ТК РФ. Обработка может осуществляться лишь в строго определенных целях:

  • содействие в трудоустройстве;
  • обучение;
  • контроль выполняемой работы.

В обработке не участвуют сведения о частной жизни работника, его убеждениях.

  1. Для работы с персональными данными составляется соответствующее Положение. Единой формы документа нет. В каждой организации она индивидуальна.
  2. При наличии в организации Профсоюза Положение согласовывается с ним.
  3. После окончательного утверждения Положения необходимо ознакомить с ним работников под роспись.
  4. Назначается сотрудник, ответственный за работу с данными. Это фиксируется в виде приказа. Список лиц, имеющих доступ к конфиденциальной информации, можно включить в этот же приказ или издать отдельный.

Больше информации о том, что такое обработка ПД, найдете в специальной статье.

Предлагаем ознакомиться  Работодатель принуждает к увольнению как доказать ему что он действует незаконно

Хранение

87 статья ТК РФ говорит о том, что работодатель должен установить порядок хранения и использования персональных данных сотрудника.

Статья 87 ТК РФ. Хранение и использование персональных данных работников

Порядок хранения и использования персональных данных работников устанавливается работодателем с соблюдением требований настоящего Кодекса и иных федеральных законов.

Подробнее о порядке хранения и использования ПД работников мы рассказываем в отдельном материале.

https://www.youtube.com/watch?v=https:accounts.google.comServiceLogin

Каждый человек сам решает, что и кому сообщать о себе. Это его частная жизнь, она конфиденциальна. 

Работодатель и персональные данные сотрудников

Чтобы информация о частной жизни не распространялась, действуют правила работы с персональными данными. Это следует из ст. 2 Закона № 152-ФЗ.

Предприниматели и организации, заключившие хотя бы один трудовой договор, отвечают за утечку сведений о частной жизни работников. Считается, что работодатели — операторы персональных данных. Они собирают информацию, хранят её в кадровых документах, передают в налоговую и пенсионный фонд. Основание — ст. 3 и 7 Закона № 152-ФЗ.

Правила работы с персональными данными не изменятся, если число работников вырастет до десяти или двух тысяч по всей стране.

Бизнесу без наёмного персонала в этом плане меньше хлопот. За свои паспортные данные и номера банковских карт предприниматели отвечают сами. Требований нет, составлять документы не надо.

Персональные данные — это любая информация о человеке, из которой можно понять, о ком речь — ст. 3 Закона № 152-ФЗ.

Более ясного определения нет. Поэтому работодатели обязаны следить за всеми документами, где есть имена, даты рождения, адреса и подобные сведения о работниках. 

Кадровые документы — трудовые договоры, трудовые книжки, личные карточки, приказы об отпусках и выговорах, заявления на отпуск.

Копии документов от работника — паспорта, СНИЛСа, свидетельства о рождении детей.

Бухгалтерские документы — расчётные листы по зарплате и премиям. Любые сведения о зарплате — это в принципе персональные данные, они секретны. Так сказано в Письме Роскомнадзора от 07.02.2014 № 08КМ-3681.

Фото работника — например, на пропуск.

https://www.youtube.com/watch?v=ytaboutru

Отпечатки пальцев — это биометрические персональные данные. Для них те же правила.

Работодатель и персональные данные сотрудников

Неформальные документы — резюме, анкеты, характеристики, тесты на психологическую совместимость скорпиона и змееносца в активной фазе луны.

Сдавайте отчётность без бухгалтерских знаний

Эльба — бухгалтерия, с которой справится любой. Сервис подготовит платёжки на зарплату, налоги и взносы — а потом сам сформирует отчётность.

За утечку персональных данных и даже формальные ошибки работодатели отвечают по административной, гражданской и уголовной ответственности.

Работу с персональными данными контролируют Роскомнадзор и прокуратура. С внеплановой проверкой приходят по жалобе работника, в том числе бывшего. 

Штрафуют за избыточный сбор данных, отсутствие в кадровой документации согласия работника, утечку и отказ уточнить сведения по ст. 13.11 КоАП РФ. Размер штрафа — до 75 000 ₽.

Попасть на административную ответственность можно за сам факт нарушения закона. Проверяющие не будут разбираться, была ли реальная опасность, что мошенники оформят микрозайм по копии паспорта.

Компания использовала копии документов людей как черновики. Это незаконное распространение персональных данных. Прокуратура назначила штраф 25 000 ₽ — дело № 44а-1189/2018.

Если по вине работодателя стали известны факты из частной жизни, работнику полагается компенсация морального вреда. 

Работодатель и персональные данные сотрудников

Дела о моральном вреде рассматривает суд по иску работника. Сумма компенсации зависит от последствий и бывает ощутимой.

Скриншот трудового договора с размером зарплаты работника попал в интернет. Компания не уследила или не придала этому значения. По всей видимости, был резонансный спор, но правило секретности персональных данных действует и тут. Работник отсудил 25 000 ₽ — дело № 33-4172/13.

В тяжёлом случае утечки данных о человеке через СМИ, интернет или как-то ещё публично на руководителя заводят уголовное дело по ст. 137 УК РФ. 

В уголовном деле смотрят на реальный вред личной и семейной жизни человека. Например, на ютуб слили видео с камер в офисе — так жена менеджера узнала об измене.

Предлагаем ознакомиться  На каких условиях сотрудникам МВД и полиции предоставляется жилье

Наказание грозит вплоть до лишения свободы на четыре года. Но такие дела, конечно, редкость.

https://www.youtube.com/watch?v=ytpolicyandsafetyru

Не уследивших за персональными данными кадровика, бухгалтера и директора можно уволить и переложить на них убытки от штрафов. Посмотрите нашу статью про дисциплинарную и материальную ответственность работников.

Работодатель и персональные данные сотрудников

🔐 Персональные данные работника обрабатывают только с его письменного согласия. 

🔐 Персональные данные работника нельзя никому сообщать без его согласия — ст. 7 Закона № 152-ФЗ. Даже коллегам и членам семьи. Но есть исключения, связанные с угрозой жизни и здоровью. Например, врачам скорой помощи можно сказать про аллергию.

🔐 Работодатель берёт от работника только нужные для работы сведения — ст. 86 ТК РФ. 

О политических взглядах, вероисповедании и сексуальной ориентации расспрашивать нельзя. Про здоровье можно выяснить только то, что нужно для конкретной рабочей функции.

🔐 Персональные данные получают у самого работника. Когда нужные сведения есть только у третьей стороны, с работника берут письменное согласие.

Работодатель и персональные данные сотрудников

🔐 Работодатель на свои деньги обеспечивает физическую сохранность документов с персональными данными. Хранить документы в надёжном месте — одна из главных его обязанностей.  

🔐 Данные о работнике должны быть точными и свежими. Работодатель обязан заменять, обновлять и удалять информацию по просьбе работника — ст. 5 Закона № 152-ФЗ.

🔐 Работник в любое время может получить бесплатно копию документов с персональными данными — ст. 89 ТК РФ.

🔐 В фирме назначают ответственного за персональные данные. Этого специалиста знакомят с правилами работы из закона. 

Чтобы законно собирать и хранить информацию о персонале, надо составить несколько скучных документов и кому-то поручить постоянную бумажную работу (возможно, самому себе). Это не так сложно, как кажется на первый взгляд.

1. Составьте и утвердите локальный нормативный акт — Положение о защите персональных данных работников. 

Обычно положение дублирует закон. Знакомьте с ним письменно каждого работника. Подписи удобно собирать на обратной стороне положения.

https://www.youtube.com/watch?v=ytcreatorsru

Пример положения о защите персональных данных работников

2. Назначьте ответственного за персональные данные. 

Так нужно в силу ст. 22.1 Закона № 152-ФЗ. 

Назначенный человек будет отвечать за сбор согласий с работников и физическую защиту документов. Возьмите с него обязательство о неразглашении данных. Брать трудовые книжки, договоры и копии паспортов сможет только он.

ИП и организации с одним учредителем ответственным назначают себя. 

Пример приказа о назначении ответственного за работу с персональными данными

Пример обязательства о неразглашении

3. Берите с каждого работника письменное согласие на обработку персональных данных. 

Отсутствие согласия — популярный повод для штрафа. Отдельно оформлять согласие не надо, если пользуетесь типовой формой трудового договора для микропредприятия. В форме есть строка о согласии на обработку.

Если планируете получать сведения о человеке у третьих лиц, например, рекомендации с прошлых мест работы или справки о судимости, возьмите согласие и на это.

Пример согласия на обработку персональных данных

https://www.youtube.com/watch?v=ytadvertiseru

Пример согласия на получение персональных данных у третьих лиц

Типовая форма трудового договора для микропредприятия

4. Храните документы с персональными данными в надёжном месте.

Критериев надёжности нет. Какие конкретно нужны меры безопасности и как не допустить утечку, решает работодатель. Это его право по ст. 18.1 Закона № 152-ФЗ и п. 15 Положения.

Для хранения подойдёт сейф или ящик на замке. К такому месту не должно быть доступа у других людей, кроме ответственного за персональные данные.

Хранить информацию в электронном виде разрешено только на сервере в России по ст. 18 Закона № 152-ФЗ.

5. Уничтожайте персональные данные полностью.

Отслужившие документы нельзя просто взять и выбросить в мусорное ведро или отправить на черновики. Нельзя даже хранить на всякий случай — это нарушение.

Ненужные резюме, заявления и копии паспортов уничтожают. Сделать это надо так, чтобы никто не смог посмотреть и взять данные из них. Такое требование прописано в п. 10 Положения. Пользуйтесь шредером или мелко порвите бумаги.

Предлагаем ознакомиться  Договор о привлечении сотрудников

Аналогичное требование к удалению данных с сервера: чтобы не осталось копий.

https://www.youtube.com/watch?v=upload

6. Если нужно, уведомляйте Роскомнадзор.

По общему правилу работодатель не обязан сообщать Роскомнадзору о сборе и хранении персональных данных. 

Однако при использовании информации о людях не только в кадрах и бухгалтерии, работодатель отправляет уведомление — ст. 22 Закона № 152-ФЗ. 

Например, когда сообщает банку о заработке сотрудника или подтверждает визовому центру место работы. В обоих случаях это передача персональных данных. Надо уведомлять Роскомнадзор.

Что это за документы?

К персональным данным относятся 2 типа документов: полученные при найме и относящиеся к деятельности сотрудника внутри организации.

Информация, полученная при найме работника, включает в себя:

  • Работодатель и персональные данные сотрудниковФИО.
  • Адрес проживания.
  • Дату рождения.
  • Семейное положение.
  • Документы об образовании, прохождении курсов повышения квалификации.
  • Паспортные данные.
  • Другие сведения, необходимые для трудоустройства.

Примеры сведений, связанных с работой в конкретной организации:

  • Документ о назначении на какую-то должность.
  • Заработная плата. Расчетные документы.
  • Любые внутренние приказы компании, относящиеся к сотруднику.

О том, что входит в понятие «Персональные данные сотрудника» мы более подробно рассказываем в этом материале.

Когда нужно разрешение, а когда нет?

Законодательная база, определяющая использование персональных данных: ФЗ № 152.

При официальном трудоустройстве человек предоставляет необходимую личную информацию, и получатель должен обеспечить ее сохранность. Разглашение персональных данных приводит к дисциплинарной, уголовной и административной ответственности.

Организация не может собирать сведения, которые не относятся к трудовой деятельности сотрудника. Например, о его вероисповедании, политических убеждениях и др. Чтобы распоряжаться информацией о сотруднике, необходимо получить его разрешение. Однако законом определены ситуации, когда согласие получать не требуется.

Когда согласие не нужно:

  1. Когда сведения получены при заключении трудового договора.
  2. При запросе результатов медицинского осмотра о состоянии здоровья.
  3. Если сведения переданы кадровым агентством, которое действовало от имени соискателя на должность.
  4. Если информация является общедоступной. Например, она взята из расположенного в интернете резюме соискателя.
  5. При выплате алиментов.
  6. Если речь идет о сохранении жизни и здоровья человека.
  7. При передаче сведений в Пенсионный фонд, налоговые органы, военные комиссариаты, прокуратуру и др.
  8. Обработка связана с выполнением обязанностей сотрудником, в том числе при его командировании.
  9. Для осуществления пропускного режима, если работодатель организует его самостоятельно.

Когда согласие работника необходимо:

  • При передаче информации третьим лицам (кроме тех, которые указаны среди исключений).
  • При открытии банковского счета.
  • В иных случаях, не попадающих под исключения.

О том, в каких случаях от работника требуется письменное согласие на обработку ПД, мы рассказываем здесь.

Кто имеет доступ в организации?

https://www.youtube.com/watch?v=ytdevru

В организации должен вестись журнал учета доступа к личным делам сотрудников.

Там указывают, кому оно выдавалось, дату выдачи и возврата. Каждый сотрудник, который имеет доступ к персональным данным, должен подписать договор о неразглашении.

https://www.youtube.com/watch?v=ytcopyrightru

Список ответственных за ведение учета персональных данных сотрудников обычно указывают в виде приложения к Положению. Такой перечень ответственных часто включает в себя кадровиков, руководителей отделов, бухгалтерию.