Здравствуйте, в этой статье мы постараемся ответить на вопрос: «Защита персональных данных сотрудника: пошаговая инструкция». Если у Вас нет времени на чтение или статья не полностью решает Вашу проблему, можете получить онлайн консультацию квалифицированного юриста в форме ниже.
Законодательством ограничивается круг информации, которую работодатель имеет право получать и использовать в отношении своих сотрудников. Это только те сведения, которые характеризуют сотрудника как сторону трудового договора.
Размер ответственности за нарушения
В соответствии со ст. 13.11 КоАП РФ нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) влечет предупреждение или наложение административного штрафа:
- на граждан – от 300 до 500 руб.;
- на должностных лиц – от 500 до 1000 руб.;
- на юридических лиц – от 5000 до 10 000 руб.
Помимо организации ответственность за нарушение несет ее руководитель как должностное лицо.
В соответствии со ст. 13.14 КоАП РФ разглашение персональной информации (за исключением случаев, если такое разглашение влечет уголовную ответственность) лицом, получившим доступ к ней в связи с исполнением служебных или профессиональных обязанностей, влечет наложение административного штрафа:
- на граждан – от 500 до 1000 руб.;
- на должностных лиц – от 4000 до 5000 руб.
Если будет установлено, что разглашение персональных данных произошло по вине работника, ответственного за хранение, обработку и использование персональных данных других сотрудников, то его могут привлечь к административной ответственности в виде штрафа.
Персональные данные относятся к сведениям, которые охраняются федеральным законом. Неправомерное разглашение персональных данных лицом, в чьи обязанности входит соблюдение правил хранения, обработки и использования такой информации, также является основанием для привлечения к дисциплинарной ответственности (ст. 90 ТК РФ).
Статья 137 Уголовного кодекса за незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрируемом произведении или средствах массовой информации предусматривает:
- или штраф в сумме до 200 тыс. руб.,
- или штраф в размере заработной платы либо иного дохода осужденного за период до 18 месяцев,
- или обязательные работы на срок от 120 до 180 часов,
- или исправительные работы на срок до одного года,
- или арест на срок до четырех месяцев.
А часть 2 указанной статьи предусматривает, что те же деяния, совершенные лицом с использованием своего служебного положения, наказываются
- или штрафом в сумме от 100 тыс. до 300 тыс. руб.,
- или штрафом в размере заработной платы либо иного дохода осужденного за период от одного года до двух лет,
- или лишением права занимать определенные должности или заниматься определенной деятельностью на срок от двух до пяти лет,
- или арестом на срок от четырех до шести месяцев.
Защита персональной информации, полученной из анкет
Зачастую работодатели используют анкеты как инструмент первичного отбора кандидатов. В этой ситуации также надо помнить про защиту персональной информации соискателя. Необходимо обратить внимание на такие моменты:
- любая такая анкета должна включать сведения о сроке ее рассмотрения;
- нужно четко указать цель обработки персональной информации, которая получена через анкетирование. Цель должна обозначаться через указание конкретных действий и сроков их осуществления;
- в анкете должен быть пункт, в котором соискатель указывает, что он согласен на обработку персональной информации;
- у анкеты не должно быть технической возможности объединить поля для внесений информации, цели обработки которой изначально не совместимы.
Что входит в обязанности работодателя
С 1 сентября 2022 требования, которые ранее носили рекомендательный характер, стали обязательными (ст. 18.1 Закона № 152-ФЗ).
Справка! Персональные данные — любые сведения, прямо или косвенно относящиеся к определённому физическому лицу: ФИО, адрес, информация о дате и месте рождения, социальном и имущественном положении, образовании, профессии, доходах, биометрические данные (фото, отпечатки пальцев, запись голоса). Граждане предоставляют ПД при трудоустройстве работодателю, при участии в договорных отношениях в качестве потребителя различных услуг (медуслуг, услуг связи, банковских продуктов и т.п.).
Что обязан сделать работодатель:
- назначить ответственного за обработку ПД (это может быть структурное подразделение или отдельный сотрудник);
- издать и опубликовать документы, определяющие политику в отношении обработки ПД (политику в отношении обработки ПД можно размещать, в том числе на страницах интернет-сайта, принадлежащего оператору);
- проводить внутренний контроль и (или) аудит на предмет соответствия действующему законодательству и требованиям к защите персональных данных (способ контроля и подтверждение его проведения нужно прописать в отдельном локальном нормативном акте);
- оценивать вред, который может быть причинён субъектам персональных данных в случае нарушения закона (пока методику оценки компании могут выбрать самостоятельно, с 1 марта 2023 года методику определит Роскомнадзор);
- ознакомить работников, осуществляющих обработку ПД, с положениями законодательства РФ о персональных данных;
- соблюдать и контролировать выполнение других требований, предусмотренных ст. 18.1 Закона № 152-ФЗ.
Как и когда нужно уведомлять Роскомнадзор
Об обработке персональных данных следует уведомлять Роскомнадзор. Уведомление подаётся однократно по каждому работнику в управление ведомства в субъекте РФ по месту регистрации компании в налоговом органе.
Уведомление подаётся в бумажном или электронном виде. Во втором случае отправить документ можно посредством портала Роскомнадзора, предварительно подписав УКЭП. Сразу после того, как ведомство подтвердит получение уведомления, можно приступать к обработке персональных данных.
Когда можно не подавать уведомление
Такие случаи предусмотрены ч. 2 ст. 22 Закона № 152-ФЗ:
- персональные данные включены в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;
- оператор осуществляет деятельность по обработке персональных данных без использования средств автоматизации;
- персональные данные обрабатываемых в случаях, предусмотренных законодательством РФ о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.
Хранение и использование персональных данных
В соответствии со ст. 87 ТК РФ порядок хранения и использования персональных данных работников устанавливается работодателем. Работодатель должен издать соответствующий локальный нормативный акт, регулирующий вопросы хранения и использования персональных данных, а также обеспечивающий защиту последних от неправомерного их использования или утраты. С соответствующим актом, а также со своими правами в сфере защиты персональных данных работники должны быть ознакомлены под подпись.
Работодатель утверждает перечень сотрудников, которые будут обрабатывать персональные данные и которые имеют к ним доступ. Чаще всего это входит в обязанности бухгалтера и кадрового специалиста. Таким сотрудникам будут доступны только те данные, которые необходимы для выполнения конкретных функций, то есть по конкретным направлениям их деятельности (ст. 88 ТК РФ).
Порядок допуска к персональным данным сотрудников закон не устанавливает. Поэтому работодатель вправе определить его самостоятельно и прописать в локальном акте организации, например, в Регламенте допуска работников к обработке персональных данных. В этом документе также необходимо указать конкретный перечень сотрудников, которые имеют доступ к персональным данным других сотрудников.
Также издайте приказ, в котором пропишите должности и фамилии сотрудников, а также закрепленные за ними объекты обработки персональных данных.
Нормативная база о персональных данных
Иногда работодатели публикуют в интернете «чёрные» списки сотрудников, с которыми у них возникали проблемы. При этом они не учитывают тот факт, что персональные данные работника — это защищаемая законом информация, и её нельзя использовать по своему усмотрению. Основы для этого заложены в Конституции Российской Федерации.
Ответственность за распространение персональных данных
Законодательные нарушения в части хранения персональных данных караются административными штрафами и другими наказаниями вплоть до уголовного преследования. Назначаемые санкции зависят от характера и степени обнаруженных недочётов, наличия усугубляющих факторов (например, массового распространения содержимого анкет или электронных баз данных).
Нарушителям грозит:
- штраф до 75 тысяч рублей — за сбор избыточных данных, обработку без согласия на это со стороны работника, предоставление доступа посторонним лицам;
- штраф до 200 тысяч рублей или лишение свободы до 2 лет, запрет занимать определенные должности до 3 лет — за публикацию персональных данных в открытом доступе;
- штраф до 300 тысяч рублей, лишение свободы до 5 лет, запрет на занятие должностей до 6 лет — если указанное выше нарушение было совершено с использованием служебного положения.
Обработка персональных данных и их защита
Законодательством ограничивается круг информации, которую работодатель имеет право получать и использовать в отношении своих сотрудников. Это только те сведения, которые характеризуют сотрудника как сторону трудового договора.
Обязательность применения мер безопасности по защите персональных данных возлагается на сторону, которая занимается их обработкой.
Важно! Исходя из норм, установленных ч.1 ст.89 ТК РФ, работодатель обязан знакомить своих сотрудников с информацией об их персональных данных и их обработке. Кроме этого работники и их представители должны быть ознакомлены под роспись с документами, устанавливающими порядок обработки персональных данных, а также об их правах и обязанностях в этой области. То есть конкретный порядок доступа работника к своим персональным данным необходимо устанавливать в локальных нормативных актах. При этом нужно учитывать, что данный порядок должен гарантировать свободу доступа работника к своим персональным данным.
Получение персональных данных
Работодателю следует помнить, что все персональные данные работника следует получать у него самого (п. 3 ст. 86 ТК РФ).
В некоторых случаях согласие на обработку персональных данных работника (соискателя) не требуется, если эта информация получена:
— из документов, предъявляемых при заключении трудового договора;
— по результатам обязательного предварительного медицинского осмотра о состоянии здоровья;
— в объеме, предусмотренном личной карточкой N Т-2, в т.ч. персональные данные близких родственников;
— от кадрового агентства, действующего от имени соискателя;
— из резюме соискателя, размещенного в сети Интернет и доступного неограниченному кругу лиц.
Если персональные данные работника могут быть получены только у третьей стороны, работника нужно уведомить об этом заранее и получить его письменное согласие.
В уведомлении необходимо указать:
— цели получения персональных данных работника у третьего лица;
— предполагаемые источники данных (у кого будет запрашиваться информация);
— способы получения данных, их характер;
— возможные последствия отказа работодателю в получении информации у третьего лица.
Если цели сбора информации отличаются от тех, что перечислены в п. 1 ст. 86 ТК РФ – работодатель не имеет права ее запрашивать у третьих лиц даже с согласия работника.
Работодатель обязан вести личные дела сотрудников, если это прямо предписано нормативными актами. Например, такое требование установлено для органов исполнительной власти. У тех компаний, кто не попадает под действие таких актов, обязанности вести личные дела сотрудников нет. Однако иногда работодатели начинают их формировать по своей инициативе. В таком случае они сами составляют перечень документов, которые нужно включить в личное дело. Но при этом важно соблюдать закон о конфиденциальности персональных данных.
Итак, по той или иной причине в компании решено формировать личные дела работников. Прежде всего нужно составить локальный нормативный акт, который определит важные моменты и правила. Это может быть стандарт или положение. В нем целесообразно отразить все нормы оформления личных дели и состав документов.
Главное правило: не стоит собирать лишнюю информацию о сотруднике про запас — только то, что действительно важно. Иначе будут нарушены принципы работы с персональными данными.
Когда работодатель вправе собирать персональные данные
В соответствии с 152-ФЗ, если субъект — получатель выгоды и сведения о нем требуются для исполнения соглашения (договора), согласия субъекта не требуется. Под этот пункт попадают трудовые договора. Но если наймодатель запрашивает информацию, которая не влияет на исполнение договора, например контакты, то для ее сбора согласие работника необходимо.
Трудовой кодекс обязывает работодателей предоставлять сотрудникам политику персональных данных. Сотрудники вправе понимать, что за данные у них берут, для чего, кто и как их будет обрабатывать. Каждый новый сотрудник должен поставить подпись в документе — Положении о хранении и использовании персональных данных.
В положении указывают:
-
личные сведения, с которыми работают официальные лица;
-
категории субъектов данных;
-
способы и сроки обработки данных;
-
порядок допуска к данным;
-
процедуру передачи данных внутри и вне компании;
-
реестр людей, кому внутри компании доступны персональные данные;
-
список мест, где хранятся личные сведения;
-
порядок уничтожения данных.
За обработку данных отвечает назначенный сотрудник. Он должен подчиняться руководителю компании, иметь возможность давать указания руководителям подразделений в рамках защиты конфиденциальной личной информации.
Когда точно нужно согласие работника:
-
если работник предоставляет свои личные сведения через третью сторону;
-
если нужно запросить информацию о работнике в другой организации.
В ряде случаев работодателю приходится запрашивать у сотрудников сведения о супругах и детях. Это происходит, когда в компании оформляют документы, касающиеся налоговых вычетов и пособий для женщин с маленькими детьми, или вносят изменения в документы сотрудника, потому что он сменил фамилию или имя.
В таких ситуациях предоставлять согласие должны и совершеннолетние родственники сотрудников. Чтобы наймодатель мог работать с данными несовершеннолетних детей, согласие за них дают родители — сотрудники компании.
Для передачи сведений третьей стороне у работника также запрашивают согласие. Но оно не нужно, если личную информацию нужно представить, чтобы предотвратить опасность жизни и самочувствию, а также когда данные передаются:
-
фондам — пенсионному, социального страхования;
-
банкам, с которыми ведется зарплатный проект;
-
третьему лицу, если у работодателя есть доверенность на представление интересов сотрудника;
-
при утверждении коллективного договора — в нем должна быть форма согласия на обработку персональных данных.
Что такое персональные данные
Четкое определение понятия персональных данных приведено в части первой статьи 3 Закона № 152 от 27.07.2006 года «О персональных данных». Это любая информация, прямо или косвенная относящаяся к физическому лицу.
Иными словами, персональными данными является абсолютно все – от имени человека до сведений, содержащихся в его трудовой книжке. Сюда же входят данные о доходах, семейном положении, адресе проживания и так далее.
При этом закон предусматривает градацию таких данных на общедоступные, то есть фамилия, имя, отчество, дата, год и место рождения, номер телефона и профессия, биометрические – физиологические особенности, и персональные данные, отнесенные к специальной категории – национальность, расовая принадлежность, вероисповедание, состояние здоровья и в последнее время еще и сексуальная ориентация и прочие сведения об интимной стороне жизни.
Если общедоступные персональные данные могут использоваться кем угодно по собственному усмотрению в рамках закона, а также общепринятых норм этики и морали, то биометрические – только в целях установления личности человека при отсутствии документов. Использование персональных данных специальной категории допускается исключительно с согласия их носителя.
Защита персональных данных сотрудника при оформлении зарплатной карты
Чаще всего у организаций заключен договор с конкретным банком. Зарплатные карты сотрудников выдаются этим конкретным банком. В связи с этим возникает вопрос: нужно ли согласие сотрудника на обработку персональных данных при получении такой карты? Скажем сразу – такое согласие нужно.
При этом нужно учесть:
- необходимо проконтролировать, чтобы в согласие были указаны те персональные данные, которые отправляются в банк, не больше – не меньше;
- как и в случаях ранее, в согласии на обработку должна быть четкая цель. В данном случае, цель – это получение сотрудником зарплатной карты.