Главная Авто Основы обработки персональных данных. Правовое обоснование и необходимость обработки персональных данных в организации

Основы обработки персональных данных. Правовое обоснование и необходимость обработки персональных данных в организации

Сотрудникам кадровой службы постоянно приходится иметь дело с персональными данными работников организации.

Персональные данные работников

Сотрудникам кадровой службы постоянно приходится иметь дело с персональными данными работников организации. Причем деятельность по работе с персональными данными включает не только их получение как у потенциальных, так и у работающих сотрудников, но и обработку, хранение, передачу и иные виды использования этих сведений. Однако не всегда кадровики имеют полное представление о правилах работы с персональными данными, не во всех организациях разработаны и утверждены соответствующие локальные нормативные акты. Нередко имеют место случаи нарушения прав работников на защиту персональных данных. Вместе с тем действующее законодательство устанавливает довольно жесткие меры ответственности за нарушение норм, регулирующих обработку и защиту персональных данных, в связи с чем владение информацией о правилах работы с ними является на сегодняшний день достаточно актуальным.

Основную правовую базу в этой сфере составляют Трудовой кодекс РФ и Федеральный закон от 27 июля 2006 г. N 152-ФЗ "О персональных данных" (вступил в силу с 26 января 2007 г., далее - Закон N 152-ФЗ). Редакция ТК РФ, вступившая в силу в октябре 2006 г., внесла изменения в гл. 14 "Защита персональных данных работника", большинство из которых носит технический характер и связано с принятием Закона N 152-ФЗ. Но среди них есть и более существенные изменения, касающиеся передачи персональных данных и наказания лиц, виновных в нарушении порядка получения, обработки и защиты персональных данных. Эти нововведения будут изложены ниже.

Что такое персональные данные?

Прежде всего выясним, какие именно сведения могут быть отнесены к персональным данным.

Согласно ст. 3 Закона N 152-ФЗ персональные данные представляют собой любую информацию, относящуюся к определенному или определяемому на основании такой информации лицу, в том числе его:

Фамилия, имя, отчество;

Год, месяц, дата и место рождения;

Семейное, социальное и имущественное положение;

Образование и профессия;

Доходы и другая информация.

Как видно, Закон N 152-ФЗ содержит довольно широкий список сведений, относящихся к персональным данным. Приведенный перечень является открытым. Но все ли из этих данных необходимы для успешного осуществления работником его трудовых функций? Безусловно, нет. К примеру, информация о социальном и имущественном положении не относится к трудовой деятельности работника. С учетом этого ТК РФ более узко определяет персональные данные работника.

В частности, в соответствии со ст. 85 ТК РФ персональные данные работника - информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного работника. Другими словами, это сведения, которые могут охарактеризовать человека именно как работника. Каких-либо иных критериев, как и конкретного перечня персональных данных работника, ТК РФ не устанавливает. Как правило, это информация, необходимая для заключения трудового договора, заполнения личной карточки, назначения на другую должность и т.д.

Персональные данные работника содержатся в следующих документах:

В документе, удостоверяющем личность работника;

В трудовой книжке работника;

В страховом свидетельстве обязательного пенсионного страхования;

В документах воинского учета;

В документах об образовании, квалификации или о наличии специальных знаний или подготовки;

В иных документах, представляемых работником (справки, резюме, грамоты и др.);

В приказах по персоналу;

Докладных и аналитических записках;

В материалах служебных проверок и расследований.

Перечень документов, из которых можно почерпнуть персональные данные работника, также является открытым. Кроме того, в зависимости от конкретной ситуации информация может быть предоставлена работником и устно либо путем заполнения различных анкет, опросных листов. Значительная часть бумаг, содержащих персональные данные работника, находится в его личном деле.

Важно, что персональные данные работника относятся к конфиденциальной информации. Конфиденциальность означает, что любое лицо, получившее доступ к персональным данным, не должно допускать их распространения без согласия субъекта персональных данных или наличия иного законного основания (ст. 3 Закона N 152-ФЗ). Не требуется обеспечивать конфиденциальность обезличенных и общедоступных персональных данных.

Так, к обезличенным персональным данным относятся данные, в отношении которых невозможно определить их принадлежность к конкретному лицу. А если не известно, кому именно принадлежат эти данные, то режим конфиденциальности снимается.

К общедоступным персональным данным относятся данные, доступ к которым с согласия гражданина может быть предоставлен неограниченному кругу лиц (например, с согласия гражданина такие сведения находятся в справочниках, адресных книгах и др.). В общедоступных источниках могут содержаться сведения о профессии, квалификации. Поскольку любой желающий имеет к ним доступ, то специальной охраны они уже не требуют.

Работодатель должен обеспечивать "секретность" персональных данных работника. Как правило, сбором и обработкой персональных данных в конкретной организации занимаются сотрудники кадровых служб или бухгалтеры. В трудовом договоре с работниками, обрабатывающими персональные данные, должны быть предусмотрены обязанности по обеспечению и сохранению конфиденциальности персональных данных.

Справка. Персональные данные отдельных категорий работников могут относиться к сведениям, составляющим государственную тайну. В первую очередь это касается государственных служащих. Так, в соответствии с ч. 5 ст. 14 Федерального закона от 27 мая 2003 г. N 58-ФЗ "О системе государственной службы Российской Федерации" персональные данные, внесенные в личные дела и документы учета государственных служащих, являются персонифицированными и в случаях, установленных федеральными законами и иными нормативными правовыми актами РФ, относятся к сведениям конфиденциального характера. К примеру, согласно ст. 17 Федерального закона от 3 апреля 1995 г. N 40-ФЗ "О федеральной службе безопасности" сведения о сотрудниках органов службы государственной безопасности, выполнявших (выполняющих) специальные задания в специальных службах и организациях иностранных государств, в преступных группах, составляют государственную тайну.

Обработка персональных данных

Поскольку персональные данные - это информация, с которой нужно работать (например, специалистам кадровых служб), законодательство вводит такое понятие, как обработка персональных данных, и устанавливает конкретные требования к работе с ними.

Согласно ст. 85 ТК РФ обработка персональных данных - это получение, хранение, комбинирование, передача или любое другое использование персональных данных работника. Закон N 152-ФЗ более подробно раскрывает указанное понятие. Действия (операции) с персональными данными, согласно ст. 3 Закона N 152-ФЗ, включают:

Систематизацию;

Накопление;

Хранение;

Уточнение (обновление, изменение);

Использование;

Распространение (в том числе передачу);

Обезличивание;

Блокирование;

Уничтожение персональных данных.

Таким образом, под обработкой персональных данных подразумеваются любые действия, производимые с персональными данными. Например, формирование списков работников по организации, по структурным подразделениям, профессии, образованию и др.

Статья 86 ТК РФ устанавливает следующие требования к обработке персональных данных работника, предъявляемые к работодателю (соответственно, и к работнику кадровой службы) и направленные прежде всего на защиту персональных данных:

1. Обработка персональных данных работника может осуществляться в строго определенных целях, а именно для соблюдения действующего законодательства, содействия работникам в трудоустройстве, обучения и продвижения по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества. Следовательно, в каких-либо иных целях организации обработка персональных данных запрещена.

2. При определении объема и содержания обрабатываемых персональных данных работодатель должен руководствоваться действующим законодательством. То есть сведения, непосредственно не характеризующие человека как работника, не могут быть истребованы у него или переданы третьим лицам и др.

3. Важное требование, нередко нарушаемое на практике, устанавливает п. 3 ст. 86 ТК РФ: все персональные данные работника должны быть получены от него самого. В случае, когда указанные сведения можно получить только у третьей стороны, работника следует уведомить об этом заранее. Но одного уведомления недостаточно, необходимо также получить его письменное согласие. При уведомлении работника следует сообщить о целях, предполагаемых источниках и способах получения персональных данных, о характере этих данных и о последствиях отказа работника дать письменное согласие на их получение. Соответственно, сбор сведений о работнике без его ведома не допускается.

4. Во всех случаях работодатель не имеет права получать и обрабатывать персональные данные работника о его политических, религиозных и иных убеждениях и о частной жизни. Обратите внимание, что если запрет на получение и обработку данных о политических и религиозных убеждениях является безусловным, то ТК РФ разрешает получение данных о частной жизни, но только в случаях, непосредственно связанных с вопросами трудовых отношений, и лишь с письменного согласия работника.

5. Работодателю запрещается получать и обрабатывать персональные данные работника о его членстве в общественных объединениях или о его профсоюзной деятельности.

6. При принятии решений, затрагивающих интересы работника, нельзя основываться на его персональных данных, полученных исключительно путем их автоматизированной обработки или электронного получения. Указанный запрет связан с тем, что полученные данные могут быть использованы не в том контексте. В каждой ситуации необходимо руководствоваться информацией, полученной путем комплексного сбора информации.

7. Защита персональных данных от неправомерного их использования или утраты обеспечивается работодателем за счет его средств и в порядке, установленном ТК РФ и другими федеральными законами. Это обязанность работодателя, осуществляемая за его счет.

8. Работники и их представители должны быть ознакомлены под подпись с документами работодателя, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области. Такими документами могут быть положение, инструкция и др.

9. Работники не должны отказываться от своих прав на сохранение и защиту тайны. Так, если в трудовой договор будет включена норма о том, что работник отказывается от указанного права, то в этой части трудовой договор будет считаться недействительным.

10. Работодатели, работники и их представители должны совместно вырабатывать меры защиты персональных данных. Примером таких мер является принятие локальных нормативных актов о персональных данных.

Хранение и использование персональных данных

Согласно ст. 87 ТК РФ работодатель должен установить порядок хранения и использования персональных данных работников. Соответствующие нормы могут быть включены в локальный акт организации о персональных данных. При этом они должны отвечать требованиям, установленным ТК РФ и иными федеральными законами.

Основные документы, содержащие персональные данные работника, объединяются, как правило, в его личное дело. Порядок ведения и хранения личного дела устанавливается работодателем. Вместе с тем сроки хранения документов, содержащих персональные данные работника, определяются в соответствии с Перечнем типовых управленческих документов, образующихся в деятельности организаций, с указанием сроков хранения (утв. Федеральной архивной службой России 6 октября 2000 г., в ред. Решения от 27 октября 2003 г.). Так, личные дела руководителя организации, членов руководящих, исполнительных, контрольных органов организации, работников, имеющих государственные и иные звания, премии, награды, ученые степени и звания, хранятся постоянно. Личные дела остальных работников хранятся в течение 75 лет.

Главным документом о трудовой деятельности и трудовом стаже работника, содержащим и его персональные данные, является трудовая книжка. Порядок хранения трудовых книжек устанавливают Правила ведения и хранения трудовых книжек, изготовления бланков трудовой книжки и обеспечения ими работодателей (утв. Постановлением Правительства РФ от 16 апреля 2003 г. N 225). Согласно п. 45 Правил ответственность за организацию работы по ведению, хранению, учету и выдаче трудовых книжек и вкладышей к ним возлагается на работодателя. Для этого приказом (распоряжением) работодателя назначается специально уполномоченное лицо.

Постановлением Госкомстата России от 5 января 2004 г. N 1 утверждены унифицированные формы первичной учетной документации по учету труда и его оплаты, в соответствии с данным Постановлением работодатель осуществляет хранение указанных документов.

Распоряжением Правительства РФ от 21 марта 1994 г. N 358-р предусматривается, что в целях обеспечения сохранности документов по личному составу увольняемых работников в результате преобразования, реорганизации и ликвидации юридических лиц, а также социальной защищенности граждан, выполняющих работу по договору, учредителям вновь образующихся коммерческих и некоммерческих организаций рекомендовано включать в свои учредительные документы правила учета и сохранности документов по личному составу, а также своевременной передачи их на государственное хранение при реорганизации или ликвидации юридического лица.

Поскольку обязанность по защите персональных данных ТК РФ возлагает на работодателя, то для осуществления такой защиты следует произвести определенные действия по созданию соответствующих технических условий, в частности особый режим доступа в те помещения, где хранятся персональные данные, оборудование мест для хранения такой информации, меры, направленные на защиту персональных данных от случайного уничтожения, утраты, несанкционированного доступа, изменений или распространения персональных данных.

Передача персональных данных работников

Одной из разновидностей обработки персональных данных работника является их передача как внутри организации, так и за ее пределы. Требования к передаче персональных данных работника устанавливает ст. 88 ТК РФ:

1. При передаче персональных данных работника запрещается сообщать их без его согласия:

В коммерческих целях;

Любой иной третьей стороне.

Исключением являются случаи, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также иные случаи, предусмотренные ТК РФ и федеральными законами (например, согласно ст. 228 ТК РФ при несчастном случае на производстве работодатель обязан немедленно проинформировать ряд государственных органов).

Пример 1. ООО "Астана" обратилось к ОАО "Пермэнерго" с просьбой предоставить сведения о бывшем сотруднике ОАО "Пермэнерго". Предоставление таких сведений возможно только при наличии письменного запроса и приложенного к нему заявления самого работника. В заявлении должно быть указано, на предоставление каких именно сведений дает согласие работник.

Например:

Генеральному директору

ОАО "Пермэнерго"

Петрову Ю.Т.

от Иванова А.А.

Заявление

Прошу передать ООО "Астана", где я работаю в настоящее время, копии документов, хранящихся в личном деле.

15.06.2007 Иванов А.А. Иванов

Из этого следует, что персональные данные работников собираются для внутреннего сведения и осуществления нормальной работы организации и без согласия работника не подлежат передаче третьим лицам как письменно, так и устно.

2. Необходимо предупредить лиц, получающих персональные данные работника, о том, что они могут быть использованы только в целях, для которых были сообщены. Работодатель вправе требовать подтверждения того, что это правило соблюдено. Лица, получившие персональные данные (в том числе работники кадровых служб), обязаны соблюдать режим секретности (конфиденциальности). Это требование не относится к случаям передачи персональных данных в порядке, установленном федеральными законами (например, случаи, установленные Федеральным законом от 12 августа 1995 г. N 144-ФЗ "Об оперативно-розыскной деятельности". Согласно ст. 6 указанного Закона при осуществлении оперативно-разыскной деятельности проводятся такие мероприятия, как опрос, наведение справок, отождествление личности, исследование предметов и документов, снятие информации с технических каналов связи и др.).

3. Передача персональных данных в пределах одной организации или у одного индивидуального предпринимателя должна осуществляться в соответствии с локальным нормативным актом, с которым работники должны быть ознакомлены под подпись.

Справка. Новшеством ТК РФ является то, что теперь и индивидуальные предприниматели обязаны передавать персональные данные согласно локальному акту и под подпись работников.

4. Доступ к персональным данным работника разрешается только специально уполномоченным лицам. При этом указанные лица вправе получать только те персональные данные, которые необходимы им для выполнения конкретных функций. Следовательно, документы или информация, содержащая персональные данные работника, может быть частично предоставлена другим сотрудникам.

Например, руководителям структурных подразделений только в пределах их компетенции. На практике сделать это бывает довольно непросто, поскольку значительное количество персональных данных собирается в одном месте и хранится централизованно. Упорядочить работу по передаче указанных данных поможет локальный нормативный акт о персональных данных, в котором может быть прописано, кто именно из руководителей и других работников и в каком объеме исходя из их компетенции имеет доступ к персональным данным работников.

5. Запрещается запрашивать информацию о состоянии здоровья работника, кроме сведений, относящихся к вопросу о возможности выполнения работником его трудовой функции. Запрос такой информации возможен для принятия решения о переводе беременной женщины на другую работу, исключающую воздействие неблагоприятных факторов (ст. 254 ТК РФ).

6. Передача персональных данных работника представителям работников допускается лишь в объеме, необходимом для выполнения представителями указанных ими функций. Так, при расторжении трудового договора по инициативе работодателя на основании п. п. 2, 3, 5 ч. 1 ст. 81 ТК РФ на работника - члена профсоюза работодатель передает профсоюзному органу копии документов, являющихся основанием для увольнения, и проект приказа (ст. 373 ТК РФ).

Права работников на защиту персональных данных, хранящихся у работодателя

Статья 89 ТК РФ предусматривает, что в целях обеспечения защиты персональных данных, хранящихся у работодателя, работники имеют право на:

Полную информацию об их персональных данных и об обработке этих данных.

К примеру, в соответствии с п. 12 Правил ведения и хранения трудовых книжек, изготовления бланков трудовой книжки и обеспечения ими работодателей (утв. Постановлением Правительства РФ от 16 апреля 2003 г. N 225) работодатель обязан знакомить владельца трудовой книжки под подпись в личной карточке с каждой записью, вносимой в трудовую книжку (о выполняемой работе, о переводе на другую постоянную работу и увольнении);

Свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные работника, за исключением случаев, предусмотренных федеральным законом.

Следует иметь в виду, что действующим законодательством за отказ в предоставлении должностным лицом информации предусмотрена уголовная и административная ответственность (ст. 140 УК РФ - штраф от 200 до 500 МРОТ или доход осужденного за период от 2 до 5 месяцев либо лишение права занимать определенные должности или заниматься определенной деятельностью на срок от 2 до 5 лет; ст. 5.39 КоАП РФ - штраф от 5 до 10 МРОТ);

Определение собственных представителей для защиты своих персональных данных. В основном представителями работников в отношениях с работодателями являются профсоюзы (в том числе и в вопросах защиты персональных данных), также работник может защищать свои права самостоятельно;

Доступ работника к своим медицинским данным с помощью медицинского специалиста, которого вправе выбрать сам работник;

Требование об исключении или исправлении неверных или неполных персональных данных, а также данных, обработанных с нарушением требований ТК РФ. Так, согласно п. 27 указанных Правил работодатель обязан оказать работнику необходимую помощь в случаях выявления неправильной или неточной записи в трудовой книжке. При отказе работодателя исключить или исправить персональные данные работника последний вправе заявить в письменной форме о своем несогласии с его обоснованием. При этом персональные данные оценочного характера работник имеет право дополнить заявлением, выражающим его собственную точку зрения;

Требование об извещении работодателем всех лиц, которым ранее были сообщены неверные или неполные персональные данные работника, обо всех произведенных в них исключениях, исправлениях или дополнениях;

Обжалование в суд любых неправомерных действий или бездействия работодателя при обработке и защите его персональных данных.

Ответственность за нарушение правил работы с персональными данными

ТК РФ предусматривает, что лица, виновные в нарушении норм, регулирующих обработку и защиту персональных данных работника, могут быть привлечены к дисциплинарной и материальной, гражданско-правовой, административной и уголовной ответственности (ст. 90 ТК РФ).

За нарушение правил работы с персональными данными работников сотрудник организации, ответственный за хранение таких данных, может быть привлечен к дисциплинарной ответственности путем применения к нему одного из дисциплинарных взысканий, предусмотренных ТК РФ (замечание, выговор, увольнение). Дисциплинарные взыскания могут быть наложены только на тех сотрудников, в чьих трудовых договорах содержится обязанность по соблюдению правил работы с персональными данными. При этом трудовой договор с сотрудником, разгласившим охраняемую законом тайну (к которой относятся и персональные данные), может быть расторгнут по инициативе работодателя (пп. "в" п. 6 ст. 81 ТК РФ). Однако нужно иметь в виду, что увольнение по этому основанию возможно именно за разглашение персональных данных. За иные нарушения правил работы с персональными данными работодатель вправе наложить другое дисциплинарное взыскание.

Пример 2. По вине работника кадровой службы ОАО "Цветы Москвы" Сидорова П.А. личные дела сотрудников были залиты водой. Поскольку разглашения персональных данных работников не произошло, то отсутствуют основания для расторжения трудового договора с Сидоровым П.А. по пп. "в" п. 6 ст. 81 ТК РФ. По итогам проведенной проверки ему было сделано замечание.

Что касается административной ответственности, в соответствии со ст. 13.11 КоАП РФ нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) влечет предупреждение или наложение административного штрафа на граждан в размере от 3 до 5 МРОТ, на должностных лиц - от 5 до 10 МРОТ, на юридических лиц - от 50 до 100 МРОТ.

Кроме того, поскольку персональные данные относятся к конфиденциальной информации, необходимо иметь в виду ст. 13.14 КоАП РФ, которая предусматривает, что разглашение информации, доступ к которой ограничен федеральным законом, лицом, получившим доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей, влечет наложение административного штрафа на граждан в размере от 5 до 10 МРОТ, на должностных лиц - от 40 до 50 МРОТ.

К материальной ответственности могут быть привлечены работники, обрабатывающие персональные данные (кадровики), если работодатель должен заплатить работнику, которому был причинен ущерб по их вине. Например, в результате неправильной записи в трудовой книжке (не та формулировка причины увольнения и т.п.) он был лишен возможности продолжать свою трудовую деятельность в иной организации и понес моральный и материальный ущерб.

Привлечение к гражданско-правовой ответственности возможно в виде денежной компенсации за причиненный моральный вред, обязанности опровержения сведений, порочащих честь, достоинство или деловую репутацию гражданина, и т.д. (ст. ст. 150, 151, 152 ГК РФ).

УК РФ предусматривает наступление уголовной ответственности за злоупотребления и незаконные действия с информационными данными о частной жизни (ст. 137 УК РФ), за неправомерный отказ должностного лица в предоставлении документов и материалов, непосредственно затрагивающих права и свободы гражданина, если эти деяния причинили вред правам и законным интересам гражданина (ст. 140 УК РФ), и др.

Положение о персональных данных

Согласно ст. ст. 8 и 22 ТК РФ работодатель вправе принимать в пределах своей компетенции локальные нормативные акты, предусматривающие в том числе порядок хранения и обработки информации о персональных данных работника. Локальный акт (документ) организации о персональных данных работника может быть разработан в виде положения или инструкции. Разработкой его занимается, как правило, кадровая служба. Четких требований к структуре и содержанию данного локального акта действующее законодательство не содержит, но по общему смыслу он должен устанавливать порядок обработки персональных данных работников, их передачи, а также права, обязанности работника и работодателя, ответственность за нарушение установленных правил.

Примерная структура положения о персональных данных может выглядеть следующим образом.

1. Общие положения:

Цели и задачи организации в области защиты персональных данных работников;

Понятие и состав персональных данных работников;

Документы, содержащие персональные данные работников;

Порядок получения персональных данных работников.

2. Порядок хранения, использования и передачи персональных данных:

Меры, предпринимаемые к защите от несанкционированного доступа к персональным данным;

Место хранения, лицо, ответственное за хранение персональных данных работников (например, "персональные данные работников вместе с необходимыми документами передаются на хранение в отдел кадров");

Перечень лиц, имеющих доступ к персональным данным работников (руководитель организации, начальник отдела кадров, сотрудники отдела кадров и др.);

Общие требования к передаче персональных данных работников;

Порядок передачи персональных данных работников в пределах организации (в какое подразделение может быть передана соответствующая информация, порядок ее хранения в этих подразделениях, перечень лиц, имеющих право доступа к указанной информации в данных подразделениях).

3. Обязанности работодателя по хранению и защите персональных данных работников:

Обязанности по обеспечению защиты персональных данных, ознакомлению работников с внутренними документами, регламентирующими работу с персональными данными, обеспечению доступа к персональным данным и др.

4. Права работников на защиту персональных данных:

Право на бесплатный доступ к своим персональным данным, на получение копий любой записи, на определение своих представителей для защиты своих персональных данных и др.

5. Ответственность за разглашение конфиденциальной информации, связанной с персональными данными работников.

Перечень лиц, имеющих доступ к персональным данным работников организации, целесообразно оформить в качестве приложения к положению о персональных данных.

Приложение

к положению о персональных данных

Список лиц, имеющих доступ к персональным данным работников

Генеральный директор Дорошенко Н.Н. Дорошенко

С положением каждый работник должен быть ознакомлен под расписку, которая остается у работодателя.

Расписка

Я, Иванов Петр Сергеевич, ознакомлен с положением о персональных данных работника, права и обязанности в области персональных данных мне разъяснены.

12.01.2007 Иванов С.П. Иванов

Напомним, что разработка локального нормативного акта о персональных данных работников является обязанностью работодателя, неисполнение которой может повлечь привлечение к административной ответственности по ст. 5.27 КоАП РФ, а именно наложение административного штрафа на должностных лиц в размере от 5 до 50 МРОТ; на лиц, осуществляющих предпринимательскую деятельность без образования юридического лица, - от 5 до 50 МРОТ или административное приостановление деятельности на срок до 90 суток; на юридических лиц - от 300 до 500 МРОТ или административное приостановление деятельности на срок до 90 суток.

Судебно-арбитражная практика. Общество с ограниченной ответственностью (далее - Общество) обратилось в суд с кассационной жалобой, в которой просило отменить Постановление суда апелляционной инстанции.

Из материалов судебного дела следует, что постановлением Государственной инспекции труда по г. Москве на основании протокола об административном правонарушении Общество было привлечено к административной ответственности за совершение правонарушения, предусмотренного ч. 1 ст. 5.27 КоАП РФ, выразившееся в нарушении п. 8 ст. 86 ТК РФ, поскольку работник Общества Г. не был ознакомлен под подпись с документами организации, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области.

Общество обратилось в Арбитражный суд г. Москвы о признании незаконным постановления Государственной инспекции труда г. Москвы. Решением Арбитражного суда г. Москвы в удовлетворении заявленных требований отказано. Постановлением Девятого арбитражного апелляционного суда данное решение оставлено без изменения.

Как указано в кассационной жалобе, по мнению Общества, вывод суда о нарушении Обществом норм трудового законодательства не соответствует фактическим обстоятельствам и имеющимся в деле доказательствам, поскольку на момент проведения проверки Г. не являлся работником Общества, поэтому не требовалось его знакомить с документами, устанавливающими порядок обработки персональных данных.

Судом в удовлетворении кассационной жалобы было отказано. При этом суд указал, что у Общества была реальная возможность для соблюдения правил и норм трудового законодательства, но оно свою обязанность не выполнило без наличия уважительных причин (Постановление ФАС Московского округа от 27 ноября 2006 г. N КА-А40/11424-06).

Судебно-арбитражная практика. Страховое общество (далее - Общество) обратилось в суд с кассационной жалобой, в которой просило отменить Постановление суда апелляционной инстанции.

Из материалов судебного дела следует, что постановлением Государственной инспекции труда по г. Москве на основании протокола об административном правонарушении Общество было привлечено к административной ответственности за совершение правонарушения, предусмотренного ч. 1 ст. 5.27 КоАП РФ, выразившееся в нарушении ст. ст. 86 - 88 ТК РФ, а именно в неиздании локального нормативного акта, которым устанавливается порядок обработки персональных данных работников, а также их права и обязанности в этой области. На Общество был наложен штраф в размере 30 тыс. руб.

Общество попыталось оспорить указанное постановление в судебном порядке. Но Решением Арбитражного суда г. Москвы в удовлетворении заявленных требований было отказано. Постановлением Девятого арбитражного апелляционного суда данное решение оставлено без изменения.

Как указано в кассационной жалобе, по мнению Общества, нарушение является малозначительным, а назначенное наказание - чрезмерно суровым, в связи с чем Обществом был поставлен вопрос об отмене судебных актов, состоявшихся по делу.

Судом в удовлетворении кассационной жалобы было отказано. При этом суд указал, что отсутствуют основания для признания данного правонарушения малозначительным (Постановление ФАС Московского округа от 1 ноября 2006 г. N КА-А40/10787-06).

Таким образом, из статьи и приведенных примеров судебно-арбитражной практики видно, что требования о защите персональных данных работников, заключающиеся в том числе в издании локального нормативного акта организации о персональных данных, носят обязательный характер. Реализация их на практике позволит избежать привлечения к ответственности, а также дополнительных затрат в случае проведения проверок.

Г.А.Соколова Юрист юридического департамента ООО "Орион-Эстейт"
Подписано в печать 28.06.2007 "Кадровая служба и управление персоналом предприятия", 2007, N 7

Кадровое делопроизводство и Трудовое право

Поступая на работу, новый сотрудник предоставляет работодателю колоссальное количество личной информации. Частично это объясняется производственной необходимостью. Независимо от характера предоставляемых данных, они должны храниться должным образом и быть качественно защищены. Если этого не происходит и личная информация работников разглашается, то сотрудникам оказывается нанесен существенный ущерб (как их достоинству, так и личной безопасности). Поэтому важно подробнее рассмотреть понятие "персональные данные". Что к ним относится? Каким образом их необходимо хранить? Какие существуют методы защиты персональных данных? Кто регулирует процесс их хранения и обработки? Ответы на эти и некоторые другие вопросы будут предоставлены непосредственно в этой статье. Будьте максимально внимательны.

Закон о персональных данных

Разнообразные нормативно-правовые акты предоставляют различные определения понятия "персональные данные сотрудника". Для того чтобы понять, что именно подразумевается, необходимо соотнести их разнообразные положения. Их законодательным основанием является закон "О персональных данных" и ряд норм, содержащихся в Конституции Российской Федерации.

Итак, что можно сказать об информации, которую собирают у сотрудников предприятия? Такие работники становятся субъектами персональных данных. К такого рода информации относят следующие данные: Ф.И.О., данные о рождении, семейный статус, место жительства, общественный статус, информация об актуальных доходах, данные об образовании и так далее.

Эти данные относятся к типу информации с ограниченным доступом, ведь законодательно подтверждено, что никто не может подвергаться вмешательству в его личную жизнь. Это относится и к персональным данным.

Такая информация необходима для того, чтобы эффективно идентифицировать личность гражданина. А если речь идет о сотруднике, то персональные данные предоставляют сведения о нем как профессионале в определенной сфере деятельности. Поэтому логично, что к личной информации работника относятся только те сведения, которые имеют отношение к его профессиональному потенциалу и особенностями исполнения им его трудовых обязанностей.

Конституция Российской Федерации гарантирует гражданам конфиденциальность их личной жизни. И персональная информация имеет к ней прямое отношение. Это определено соответствующим Указом президента Российской Федерации, который утверждает конфиденциальный характер такого рода информации и закрепляет отсутствие доступа к ней для общественности.

В то же время Трудовой кодекс Российской Федерации предоставляет достаточно узкое определение рассматриваемого понятия. Он утверждает, что персональные данные сотрудника - это информация, которая необходима его руководителю в связи с исполнением его прямых профессиональных обязанностей и которая имеет отношение исключительно к определенному работнику.

Обработка персональных данных

Для чего нужно обрабатывать и хранить персональные данные? Они необходимы для того, чтобы правильным образом реализовывать трудовую активность предприятия.

Цели их обработки следующие:

факт приема на работу;
основание для карьерного продвижения;
осуществление выплат заработной платы;
контроль реализации выполнения работы.

Существует ряд методов защиты личной информации. Работники имеют полное право знать, как именно хранятся и используются их персональные данные. Ознакомить сотрудников с этой информацией - это обязанность руководителей. Факт уведомления работники подтверждают личной подписью.

Типы персональных данных

То, какая именно личная информация о работниках должна быть собрана, определяется Трудовым кодексом, Конституцией Российской Федерации и рядом федеральных законов. Так, являются необходимыми два вида документов. Первый - бумаги, которые связаны с подачей трудового договора. Второй - документация, запрашиваемая или формируемая работодателем непосредственно.

Так, персональные данные классифицируются по следующим признакам:

Степень доступа

Общедоступные. Доступны широкому кругу лиц.
Конфиденциальные. Доступны только тем, кому сотрудник позволил.

Направление

Специальные. Личная жизнь, наличие судимости, религиозные взгляды, политические убеждения.
Обычные. Все, что не относится к специальным данным.

Биометрические. Характеризуют физиологию.
Не биометрические. Данные, которые не относятся к биометрическим.

Виды персональных данных

На какие типы подразделяются персональные данные? Что к ним относится?

Важно понимать, что вся информация, которая хранится на предприятии в отношении определенного сотрудника, может быть рассмотрена с двух разных точек зрения.

Данные о семейном положении и семье работника (отдельных ее членах), а именно: наличие иждивенцев, наличие детей, их возраст и количество, состояние здоровья.
Информация об определенном сотруднике, а именно: ФИО (паспорт), профессия, состояние здоровья, а также какие-нибудь особенные обстоятельства.

Руководитель предприятия обязан сформировать нормативно-правовой акт локального значения, который рассматривает порядок, определяющий хранение персональных данных. Он может быть представлен в разном виде. Например, им может являться Положение о персональных данных.

Итак, обсудим один из нюансов подробнее. Персональные данные: что к ним относится? Информация, содержащаяся в личных делах. Речь идет о следующем:

данные паспорта (место и год рождения и так далее);
копия диплома;
копия документов, которые подтверждают наличие специальных навыков и знаний;
копия документов пенсионного госстраха;
иные документы.

Итак, подведем итог, что подразумевает понятие персональные данные? Что к ним относится? Это личная информация о работнике, которая необходима работодателю для того, чтобы наиболее эффективно использовать потенциал и умения сотрудника. Последний, конечно же, должен дать свое согласие на обработку персональных данных. Если все формальности соблюдены, то информация останется максимально защищенной.

Ответственность за разглашение

Важно учесть, что 152 ФЗ "О защите персональных данных" предусматривает только административную ответственность предприятия за разглашение персональных данных сотрудника. А значит, если организация не способна гарантировать работникам абсолютную защиту их личной информации, то ее ожидает только штраф. Причем суммы денежного наказания за неправильное хранение персональных данных абсолютно смешные. В общем, они колеблются от пяти до десяти тысяч рублей. Конечно, это так, если речь идет только об одиночных выплатах. Как правило, на предприятиях, где есть такого рода проблемы, нарушения множественные, а значит, и суммы штрафа существенно возрастают.

Однако денежные затраты - далеко не самое главное последствие того, что использование персональных данных происходит неправильным образом. Это сильно бьет по репутации компании. Ведь когда сотрудники дают свое согласие на обработку персональных данных, они рассчитывают, что их сохранность гарантирована. Если выясняется иное, такие кадры отказываются иметь дело с фирмой такого рода. Компания теряет возможность нанимать профессионалов.

Как Роскомнадзор проверяет защиту персональных данных

В данном случае нас интересует 152 ФЗ "О защите персональных данных". Именно он является законодательной базой для реализации данной функции.

Обычно Роскомнадзор проверяет три основных направления рассматриваемой сферы:

Средства массовой информации.
Связь.
Защита персональных данных.

Положение о персональных данных рекомендует Роскомнадзору проводить такого рода проверки как минимум трижды в год. Это правило действует, если речь идет о плановых проверках. Внеплановые же производятся по мере необходимости. Каковы могут быть для этого причины? Например, если плановый аудит осуществлялся достаточно давно. Или если потребуется удостовериться в том, что прошлые замечания были учтены и были внесены необходимые изменения.

Правила хранения персональных данных

На каждом предприятии обязательно должны быть разработанный специальные правила, регламентирующие то, как хранятся и используются персональные данные сотрудников. Существует несколько вариантов того, как именно описанный документ может быть оформлен. Это может быть как отдельное положение, так и раздел, включенный в локальные Правила внутреннего распорядка. Каждый сотрудник имеет право принимать участие в процессе разработки и проведения мероприятий по защите персональных данных. Именно поэтому всех работников необходимо тщательно ознакомить с описанным документом.

Потребуется составить перечень персональных данных и список сотрудников, а также сформировать шаблон документа. Его должны подписать все, кто работает на предприятии.

Физическое хранение

Существуют разные способы хранения данных. Некоторые не готовы переходить к электронным архивам, а значит, предпочитают вести дела традиционным образом (то есть на бумаге). Суть метода в том, чтобы хранить все данные о сотрудниках, его личные документы и копии в буквальной папке, которая называется личным делом.

Каковы преимущества такого типа ведения личных дел? Среди них выделяют следующие:

всю информацию просто найти, так как она располагается в одном месте;
данные можно легко систематизировать;
поиск информации занимает максимально короткое время.

Однако такой метод имеет и некоторые минусы. Например, следующие:

наличие дополнительных ресурсов для хранения, таких как специальные помещения, оборудование, сейфы и так далее;
трудоемкость процесса;
требуются специальные навыки для ведения бумажной документации.

Иногда отделы кадров предпочитают хранить информацию об одном сотруднике раздельно (в различных тематических папках). Так, отдельно хранятся все трудовые договоры, анкеты и прочие документы по всем работникам сразу. Их нумеруют для более удобного поиска. Этот способ менее трудозатратен, чем тот, что был описан выше, да и не требует никаких специальных навыков от сотрудника отдела кадров.

Тем не менее и он не лишен недостатков. Среди них выделяют следующие:

большое количество времени требуется для того, чтобы отыскать нужные данные о конкретном работнике;
риск утечки конфиденциальной информации существенно повышается.

Хранение в электронном виде

В описываемом случае отделы кадров предпочитают применять электронные базы данных и разнообразные информационные системы. Часто это гарантирует обеспечение безопасности персональных данных.

Каковы преимущества такого типа хранения информации? Далее будут перечислены основные из них:

нет необходимости иметь большой архив;
существенная экономия пространства;
нет никаких ограничений по срокам хранения;
обрабатывать персональные данные удобно, и для этого не потребуется много времени;
несанкционированный доступ к данным практически исключен;
не нужны никакие дополнительные ресурсы.

Выделяют, конечно же, и некоторые минусы. Например, следующие:

потребность хранить резервные копии всей базы данных;
необходим специалист, который займется администрированием системы информации;
потребуются расходы на специально предназначенное для этого оборудование и программное обеспечение;
сотрудник, который обрабатывает персональные данные, должен быть исключительно грамотен.

Какие именно методы применяют для того, чтобы эффективно защитить персональную информацию сотрудников?

Сделать помещения, в которых обрабатываются личные данные, полностью закрытыми для доступа других сотрудников.
Для получения какой-либо информации сотрудники должны получить специальное разрешение.
Хранение данных должно быть четко организовано.

Учитывая наличие и недостатков, и преимуществ у каждого из методов, как правило, работодатели комбинируют их. Не имеет значения, какой именно способ хранения информации используется, работодатель, так или иначе, обязан получить согласие сотрудника на обработку его личной информации.

Вывод

Персональные данные - конфиденциальная информация, которая может быть собрана работодателем с целью идентификации личности сотрудника, а также для определения уровня квалификации работника и его профессионального потенциала. Существует несколько способов хранения и обработки личной информации (она может быть зафиксирована на бумаге или электронных носителях, в зависимости от предпочтений сотрудников отдела кадров и возможностей предприятия). Защита персональных данных должна стать первоочередной задачей соответствующего отдела, так как это право сотрудника, которое гарантируется ему Конституцией Российской Федерации. Важно хорошо знать свои права, чтобы иметь возможность защитить себя в спорной ситуации.

Информация о личности человека, включающая персональные данные, защищена законодательно . В России запрещено передавать информацию о человеке посторонним без его ведома. За это предусмотрено наказание – и административное, и уголовное! Кадровик рискует быть привлечённым к ответственности, если законные требования о защите личной информации будут нарушены . Давайте до тонкостей разберём, что такое персональные данные работника, понятие и их защита.

Нормативная база

Основной закон, регулирующий защиту информации о работнике – ФЗ №152 от 27.07.2006г. Закон разъясняет, как должна обрабатываться личная информация. Обработка в нашем случае – это сбор документов работника (личных документов и приказов по работе), формирование личного дела и работа с кадровыми компьютерными программами, куда заносится личная информация.

Предоставление персональных данных

Предоставление личных данных – это передача отчётов с личной информацией в органы, которые имеют право таковую запрашивать . Например, в службы статистики или военкомат.

По смыслу закона оператор (в нашем случае – кадровик), который формирует личные дела работников, имеет прямой доступ к персональным данным всех работников организации, а поэтому несёт личную ответственность в случае разглашения личной информации.

В случае умышленного или нечаянного разглашения личной информации, оператор может быть привлечён к ответственности аж по трём кодексам:

трудовой (ТК);
административный (КоАП);
уголовный (УК).

Ответственность и наказание по ТК:

увольнение по п. «в» ст.90 за разглашение информации;
замечание, выговор или увольнение по ст.192 – за некачественное исполнение обязанностей.

Ответственность по КоАП:

штраф в размере 500 – 1000 рублей (требования ст.13.11 – за нарушение закона);
штраф в размере 2500 – 3000 рублей (требования ст.13.12 – если используются несертифицированные компьютерные программы).

Ответственность по УК:

штраф от 100 до 300 тысяч рублей , или в размере двухгодовой зарплаты, или лишение права заниматься кадровой работой на срок до 5-ти лет, а также возможно привлечение к принудительным работам до 4 лет, или арест до полугода. Также можно лишиться свободы на срок до 4-х лет – по части 2 ст.137 – за сбор должностным лицом личной информации без согласия.

Как видите – наказания серьёзные, так что не рискуйте и приведите кадровую работу в соответствие со 152 законом.

Что входит в персональные данные работника

Персональные данные по понятию законодателя, это любая информация, косвенно или прямо относящаяся к работнику. Кадровику доступны такие личные данные:

адрес;
телефон;
паспортные данные;
семейное положение;
должность и профессия;
размер зарплаты;
номер страхового пенсионного свидетельства;
личные данные о воинском учёте;
место работы;
сведения о стаже и местах работы;
сведения об основаниях увольнения с прошлых мест работы;
сведения о долгах (по алиментам или кредитам);
данные о здоровье (инвалидности).

Вот такую информацию о работниках вам нужно правильно защитить.

Защита персональных данных работника

В документах отдела кадров по номенклатуре обязательно должно присутствовать Положение о персональных данных работников. Этот локальный акт в точности должен соответствовать 152-му закону. О том, как составить и утвердить положение, будет разъяснено в отдельной статье, а пока вернёмся к требованиям закона.

19-я статья Закона и Требования к защите данных обязывает кадровика к следующим мерам по защите информации:

личные дела работников не должны быть доступны посторонним лицам (нужно хранить их в сейфе);
кадровые компьютерные программы должны быть легальными и сертифицированными;
экран компьютера, на котором установлена кадровая программа, не должен быть в прямой видимости посторонних лиц, как и сам компьютер не должен использоваться посторонними;
используемый кадровиком компьютер не должен иметь выход в интернет во избежание вирусных угроз и похищения информации;
кадровик должен быть назначен ответственным за хранение и обработку персональных данных приказом начальства;
все флешки, диски или дискеты, как и бумажные документы, содержащие личную информацию, должны быть учтены в реестре и храниться в сейфе;
нельзя передавать личную информацию (в том числе сканы или копии документов) по факсу, электронной почте или по телефону.

Обратите внимание: каждый кадровик в качестве черновиков использует ненужные документы. Если на документе есть личная информация (например, вы делаете записи на обратной стороне копии чьего-то паспорта) – не оставляйте его на столе, не передавайте кому-либо, не выкидывайте в мусор! Лучше все ненужные документы с данными сразу уничтожать .

Согласие работника на обработку персональных данных

Статья 6 Закона разъясняет, при каких условиях должна обрабатываться личная информация:каждый работник обязательно должен письменно согласиться с обработкой его данных. Согласие работника архиважно, не забывайте об этом! В законе работника обозвали «субъектом персональных данных», от которого просто необходимо получить письменное согласие на обработку его личной информации. Всё о согласии расписано в 9 статье закона.

Основное правило получения согласия – подпись на документе о согласии должна быть лично работника или его представителя по доверенности (доверенность должна быть приложена к документу).

Документ о согласии должен включать:

ФИО, адрес, серия, номер, дата и место выдачи паспорта работника (и представителя, если имеется доверенность);
ФИО, должность и место работы кадровика;
цель обработки данных;
список личных данных;
список действий, которые будет производить кадровик с данными;
срок действия согласия (срок трудового договора);
подпись работника с расшифровкой.

Работа кадровика интересная, но не стоит забывать об ответственности . Для того, чтобы вы не попали в неприятную ситуацию, тут и рассмотрены вопросы – что такое персональные данные работника, понятие и их защита.

Есть заблуждение, что с персональными данными работают только мобильные операторы и банки. На самом деле это не так. Любая компания обрабатывает персональные данные как минимум своих работников, а еще контрагентов, клиентов, посетителей офисов и т.д. В статье мы рассказали, что такое персональные данные и как их правильно обрабатывать. Читайте и не нарушайте закон - с 1 июля штрафы для компаний вырастут в семь раз.

С персональными данными работает каждая компания, но не каждый юрист знает, что такое персональные данные и как их правильно обрабатывать. Если до 1 июля 2017 года это было еще не так страшно - штрафы за нарушения были невелики, то теперь ситуация изменилась. С этой даты вступают в силу поправки в КоАП РФ, которые увеличивают штрафы для компаний за нарушения при обработке персональных данных и вводят 7 новых составов правонарушений (Федеральный закон от 07.02.17 № 13-ФЗ). Штрафы будут платить не только компании, но и работники, которые нарушили закон - включая юристов. Мы решили помочь вам не нарушать закон и рассказали про азы обработки персональных данных, которые касаются каждой компании.

Какая информация относится к персональным данным

Персональные данные - это любая информация, которая прямо или косвенно относится к определенному или определяемому физическому лицу (п. 1 ст. 3 Федерального закона от 27.07.06 № 152-ФЗ «О персональных данных»; далее - Закон № 152-ФЗ). Более конкретно перечень такой информации определен в Указе Президента РФ от 06.03.97 № 188 «Об утверждении Перечня сведений конфиденциального характера»: это сведения о фактах, событиях и обстоятельствах частной жизни гражданина, которые позволяют идентифицировать его личность, за исключением сведений, подлежащих распространению в СМИ в случаях, установленных законом.

В работе юридических и кадровых служб компаний обрабатываемые персональные данные обычно включает в себя следующие сведения о лице:

фамилия, имя, отчество;
год, месяц, дата и место рождения;
адрес;
семейное, социальное, имущественное положение;
образование, профессия, должность, доходы;
биометрические персональные данные.

Судебная практика расширяет перечень персональных данных. Например, суды признавали персональными данными:

сведения о смерти гражданина (постановление АС Поволжского округа от 25.09.14 по делу № А49-2005/2014);
номер мобильного телефона (апелляционное определение Алтайского краевого суда от 01.10.13 по делу №33-9241/2015);
фотографии гражданина (апелляционное определение Свердловского областного суда от 09.04.15 по делу № 33-5232/2015).

В последнее время есть явная тенденция - перечень сведений, которые составляют персональные данные, становится все шире. Так, Европейский суд справедливости в Решении от 19.10.16 по делу № 582/14 (Патрик Брейр против Германии) признал, что при определенных условиях даже IP-адрес интернет-пользователя может признаваться персональными данными.

Что такое обработка персональных данных

Обработка персональных данных - это любое действие с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление и уничтожение (п. 3 ст. 3 Закона № 152-ФЗ).

Например, компания обрабатывает персональные данные, если собирает анкеты клиентов (в бумажном виде или через сайт), ведет и хранит клиентскую базу, передает контакты клиентов в call-центр, фиксирует паспортные данные посетителей офиса на контрольно-пропускном пункте и т.д. Фактически персональные данные обрабатывает любая компания.

Nota bene!
Дополнительные условия для обработки персональных данных соискателей и работников установлены гл. 14 ТК РФ и разъяснениями Роскомнадзора от 14.12.12 «Вопросы, касающиеся обработки персональных данных работников, соискателей на замещение вакантных должностей, а также лиц, находящихся в кадровом резерве».

Когда нужно уведомлять Роскомнадзор

Если компания обрабатывает персональные данные, она является оператором (п. 2 ст. 3 Закона № 152-ФЗ). Оператор до начала обработки персональных данных обязан уведомить Роскомнадзор о своем намерении (п. 1 ст. 22 Закона № 152-ФЗ).

Направлять уведомление не требуется (п. 2 ст. 22 Закона № 152-ФЗ), если компания-оператор обрабатывает персональные данные, в частности:

только своих работников;
для целей заключения и исполнения договоров (например, персональные данные контрагентов);
для однократного пропуска лица на территорию компании;
без использования средств автоматизации (персональные данные используют, уточняют, распространяют и уничтожают при непосредственном участии человека - см. Постановление Правительства РФ от 15.09.08 № 687).

Проверьте, подпадает ли компания под исключения, которые указаны в Законе № 152-ФЗ. Если нет - составьте уведомление по официальной форме (Приложение № 2 к административному регламенту, утв. Приказом Минкомсвязи России от 21.12.11 № 346). Затем направьте его в территориальный орган Роскомнадзора по месту регистрации компании. Отправить уведомление можно как на бумажном носителе, так и в форме электронного документа через портал «Госуслуги» (gosuslugi.ru) или официальный сайт Роскомнадзора (pd.rkn.gov.ru/).

Роскомнадзор внесет сведения о компании в реестр операторов в течение 30 дней с даты поступления уведомления. Проверить, включена ли компания в реестр, можно на официальном сайте ведомства (pd.rkn.gov.ru/).

Как правильно собирать персональные данные

По общему правилу, чтобы собирать персональные данные, нужно получить согласие их владельца - субъекта персональных данных (пп. 1 п. 1 ст. 6 Закона № 152-ФЗ). Согласие должно быть конкретным, информированным и сознательным (п. 1 ст. 9 Закон № 152-ФЗ). Это значит, что перечень оснований для обработки персональных данных должен быть указан как можно более конкретно, а также содержать срок обработки и порядок отзыва согласия (постановление АС Уральского округа от 29.09.14 по делу № А60-31459/2013, постановление Пятого ААС от 13.08.14 по делу № А59-48/2014).

Закон не устанавливает форму согласия на обработку персональных данных, за исключением особых сведений. Субъект может дать согласие в любой форме, которая позволит подтвердить факт его получения (п. 1 ст. 9 Закона № 152-ФЗ). В частности, согласие может быть выражено в электронной форме путем заполнения анкеты на сайте (постановление ФАС Северо-Западного округа от 13.12.10 по делу № А56-73636/2009, апелляционное определение Омского областного суда от 07.08.13 по делу № 33-5139/2013).

СНОСКА
Письменное согласие субъекта нужно для обработки специальных категорий персональных данных - например, о национальной принадлежности и состоянии здоровья лица (ст. 10 Закона № 152-ФЗ). Согласие можно получить на бумажном носителе или в электронной форме с усиленной квалифицированной электронной подписью.

Получать согласие на обработку в типовой форме договора рискованно, если пункт о согласии просто включен в текст. Суд может признать такой способ ненадлежащим, если потребитель не может изменить это условие - например, сделать отметку о своем согласии или отказе (постановление АС Северо-Западного округа от 18.07.16 по делу № А44-9647/2015, постановление АС Уральского округа от 22.12.16 по делу № А76-5164/2016).

В случае проверки или судебного спора именно оператор обязан доказать, что получит согласие на обработку персональных данных (п. 3 ст. 9 Закона № 152-ФЗ). Поэтому заранее определите, какой тип персональных данных обрабатывает ваша компания. В зависимости от этого разработайте форму получения согласия на обработку. Важный момент - субъект вправе в любое время отозвать свое согласие (п. 2 ст. 9 Закона № 152-ФЗ). Если в компанию поступило такое обращение - она обязана прекратить обработку персональных данных.

Nota bene!
Согласие на обработку персональных данных не нужно, если субъект сам сделал их общедоступными. Например, при регистрации на форуме или в социальной сети. Если субъект потом отзовет согласие на обработку - его можно не учитывать (пп. 10 п. 1 ст. 6, пп. 2 п. 2 ст. 10 Закона).

Как получить согласие у работников

Работников надо ознакомить под роспись с документами компании, которые устанавливают порядок обработки персональных данных, а также их права и обязанности в этой сфере (п. 8 ст. 86 ТК РФ). Такой порядок можно прописать в самом трудовом договоре, приложениях к нему, правилах внутреннего трудового распорядка или других локальных актах - например, политике компании об обработке персональных данных. Факт ознакомления работников с этими документами нужно отдельно фиксировать - например, в специальном журнале.

СНОСКА
За нарушения при обработке персональных данных работников компанию могут привлечь к ответственности по ст. 5.27 КоАП РФ (до 80 тыс рублей штрафа).

Согласие работника на обработку персональных данных не нужно в следующих случаях (см. разъяснения Роскомнадзора от 14.12.12 «Вопросы, касающиеся обработки персональных данных работников, соискателей…»):

обработка персональных данных близких родственников работника в объеме, предусмотренном личной карточкой по форме Т-2;
получение мотивированных запросов от прокуратуры, правоохранительных органов, органов безопасности, государственных инспекторов труда;
обработка нужна для исполнения заключенного с работником договора или возложенных на работодателя обязанностей;
обработка связана с выполнением работником его трудовых обязанностей, в том числе, при отправлении его в командировки.

Как обеспечить безопасность персональных данных

Персональные данные относятся к конфиденциальным сведениям (ст. 7 Закона № 152-ФЗ). Операторы и иные лица, получившие к ним доступ, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта. Оператор обязан обеспечить безопасность персональных данных. Меры зависят от способа обработки данных - с использованием средств автоматизации или вручную.

Если компания ведет автоматизированную обработку персональных данных, на нее распространяются Требования к защите персональных данных при их обработке в информационных системах, утв. постановлением Правительства РФ от 01.11.12 № 1119 и Приказ ФСТЭК России от 18.02.13 № 21. Чтобы выполнить эти требования, нужно привлекать IT-специалистов.

Для защиты персональных данных без автоматизации предусмотрены рекомендательные меры (ст. 19 Закона № 152-ФЗ и п. 13-15 Положения, утв. постановлением Правительства РФ от 15.09.08 № 687). Одна из таких мер - определить во внутренних документах компании перечень лиц, которые обрабатывают персональные данные или имеют к ним доступ. Можно обеспечить безопасность данных, если раздельно хранить носители персональных данных, которые обрабатываются в различных целях (например, раздельно хранить данные работников, посетителей офисов и клиентов).

Что и кому грозит за нарушения в сфере персональных данных

За нарушения при обработке персональных данных компанию могут привлечь к гражданско-правовой и административной ответственности по ст. 13.11 КоАП РФ. До 1 июля 2017 года максимальным наказанием для должностного лица был штраф в 1 тысячу рублей, а для компании - до 10 тысяч рублей.

С 1 июля 2017 года вступают в силу поправки, которые усиливают административную ответственность (Федеральный закон от 07.02.17 № 13-ФЗ). Поправки вводят дополнительные составы правонарушений в ст. 13.11 КоАП РФ и увеличивают штрафы. В частности, закон вводит ответственность юридических лиц за следующие нарушения:

обработку персональных данных в случаях, не предусмотренных законом (ч. 1 ст. 13.11 КоАП РФ) - штраф от 30 тыс до 50 тыс рублей;
обработку персональных данных без согласия в письменной форме, когда закон требует получить такое согласие (ч. 2 ст. 13.11 КоАП РФ) - штраф от 15 до 70 тыс рублей;
неопубликование оператором политики в отношении обработки персональных данных, когда такая обязанность предусмотрена законом (ч. 3 ст. 13.11 КоАП РФ) - штраф от 15 до 30 тысяч рублей.

Работника могут привлечь к административной ответственности, но не только. Дополнительно он несет материальную (п. 7 ст. 243 ТК РФ) дисциплинарную (пп. «в» п. 6 ч. 1 ст. 81 ТК РФ) и даже уголовную ответственность (ч. 2 ст. 137 УК РФ).

К ответственности привлекут как работника-нарушителя (например, скопировавшего базу клиентов на свою флешку и передавшего ее конкуренту), так и работника, который несет ответственность за обработку персональных данных в компании.

24 февраля 2016 в 17:35

Основы обработки персональных данных

Законодательство в IT ,
Патентование ,
Блог компании Зарцын и партнеры

Мы уже начинали говорить о персональных данных, их сборе и обработке. Но, об этом можно говорить бесконечно и мы продолжим. В прошлый раз мы говорили об изменениях в законе, но не учли самого главного - САМ ЗАКОН ВЫ НЕ ЧИТАЛИ!.. И, судя по обратной связи, информация требует более детальной проработки.
Поэтому мы несколько раз перечитали все законы и дополнения к ним. Сделали из него эдакую выжимку. Четко по пунктам расписав основные его нормы и требования.

Основы основ

«Обработка персональных данных базируется на принципах законности и справедливости» - гласит ФЗ-152 «О персональных данных». Из этих понятиях зиждятся остальные принципы, отражающие суть обработки персональных данных как процесса. И вот что вам необходимо запомнить:

1. Обработка персональных данных должна отвечать целям сбора персональных данных;
Это значит, что Субъект обработки ПДн (покупатель, клиент, работник и т.д.) должен быть уведомлен о целях обработки. Поэтому цели должны быть отражены в форме письменного согласия на обработку персональных данных.

2. Не должны объединяться базы данных, содержащих персональные данные, обработка которых осуществляется в несовместимых между собой целях;
Тут все очевидно: не должны быть объединены базы персональных данных, содержащие, например, фискальную информацию о работниках компании, и базы персональных данных клиентов компании.

3. Обрабатываемый объем персональных данных не должен быть избыточным по отношению к целям их обработки;
Получается, что интернет-магазин продающий носки может обрабатывать персональные данные покупателей, которые могут содержать информацию о предпочтениях, о маркетинговой активности, но персональные данные покупателя, говорящие о наличии у него, скажем, заболеваний, будут явно избыточными.

4. При обработке персональных данных должны быть обеспечены их точность, достаточность и актуальность по отношению к целям обработки;
Это необходимо в первую очередь для качественного и своевременного выполнения какого-либо юридически значимого действия, при котором используются персональные данные. Например, для непосредственной покупки товара.

5. Хранение персональных данных должно осуществляться не дольше, чем этого требуют цели обработки персональных данных.
Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей. То есть если интернет-магазин закрывается, то базу персональных данных его покупателей нельзя оставлять «врагам», необходимо ее хотябы обезличить.

Этапы работы с персональными данными

1. Сбор
При сборе персональных данных с посетителей сайта мы рекомендуем в любом случае указывать:

наименование оператора;
цель обработки персональных данных и ее правовое основание;
предполагаемые пользователи персональных данных;
установленные законом права субъекта персональных данных;
источник получения персональных данных.

Кроме того, по запросу гражданина оператор по обработке персональных должен предоставить:

Подтверждение факта обработки персональных данных оператором;
Наименование и место нахождения оператора, сведения о лицах, которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или на основании федерального закона;
Сроки обработки персональных данных;
Информацию об осуществленной или о предполагаемой трансграничной передаче данных;

2. Хранение
Хранение и запись, систематизация, накопление, уточнение, должны осуществляться на территории РФ – это уже все знают. Хранение персональных данных может осуществляться в любой форме, в том числе бумажной.
Обработка персональных данных может осуществляться за границей, если база данных в РФ содержит равный или больший объем персональных данных.

3. Использование
Помните! Действия, совершаемые с собранными персональными данными должны осуществляться строго согласно целям, для которых они были предоставлены.
То есть, если данные собраны при покупке носков в интернет магазине «А», то и использоваться они должны только для продаж магазина «А», которому эти данные оставили. Если эти данные использовать для продажи квартир на другом ресурсе, то это уже будет считаться неправомерным использованием персональных данных.

4. Блокирование
Если субъект обнаружил что его данные используют неправомерно и обратился к вам с претензией (или его представитель/ соответствующий орган), то вы обязаны блокировать его персональные данные и проверить правомерность их использования. Если данные эти обрабатывает подрядчик, то вы обязаны сделать все для блокировки и проверки данных обратившегося.
Все тоже самое вы обязаны провернуть в том случае, если субъект обнаружил неточности в своих данных.
Блокировка должна осуществляться с момента такого обращения или получения запроса на время проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц.

5. Уничтожение
А вот уничтожить данные или обеспечить прекращение использования вы обязаны в случае отзыва согласия. Также, если сохранение персональных данных более не требуется для целей обработки персональных данных.
Произвести все это необходимо в срок не более тридцати дней с даты поступления отзыва, если иное не предусмотрено договором.

Напомним, что нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах влечет предупреждение или наложение административного штрафа:

на граждан в размере от трехсот до пятисот рублей;
на должностных лиц - от пятисот до одной тысячи рублей;
на юридических лиц - от пяти тысяч до десяти тысяч рублей.

Суммы сами по себе небольшие, но сам факт привлечения внимания надзорных органов может повлечь гораздо более серьезные проблемы.

БОНУС

Трансграничная передача данных возможна, ее никто не запрещал.
НО, вы обязаны

хранить и актуализировать все данные на серверах в РФ (первичная БД)
указать в «Соглашении на обработку ПДн» то, что вы планируете передавать эти данные в другую страну и для каких конкретных целей (писать ли конкретную страну в законе не указано)

Ответственность за использование переданных данных несет тот Оператор, которому переданы эти базы данных.

Предоставление удаленного доступа к базам данных, находящихся на территории РФ, с территории другого государства ФЗ-242 не запрещается.

На этом все, коллеги. Да прибудет с вами милость Эру!