О персональных данных работника

В соответствии с абз. 5 ст. 88 ТК РФ при передаче персональных данных работника работодатель должен… осуществлять передачу персональных данных работника в пределах одной организации, у одного индивидуального предпринимателя в соответствии с локальным нормативным актом, с которым работник должен быть ознакомлен под роспись. Цель такого локального акта – защита персональных данных работников от несанкционированного доступа и разглашения, так как персональные данные всегда являются конфиденциальной, строго охраняемой информацией.

Судя по тому, что более об этом локальном акте в ТК РФ ничего не сказано, речь идет о документе, принимаемом единолично работодателем с использованием любого титула – положение, регламент, порядок, приказ и т.д. Удивителен тот факт, что ТК РФ выделяет этот документ из числа прочих локальных нормативных актов процедурой обязательного ознакомлении с ним работника под роспись. Это обстоятельство свидетельствует и об отсутствии единообразия в подходе законодателя к вопросу ознакомления работника с локальными актами, и о высокой значимости данного документа для организации.

В соответствии с частью первой ст. 85 ТК РФ персональные данные работника – это информация, которая необходима работодателю в связи с трудовыми отношениями и касающаяся конкретного работника. Она может включать в себя сведения о фактах, событиях и обстоятельствах жизни работника, позволяющих идентифицировать его личность и определить его деловые качества. «Персональные данные работника предназначены главным образом для его специальной идентификации как человека, имеющего и реализующего определенную трудоспособность»[306].

При этом, как указывает З.С. Богатыренко, персональными данными с позиции целей их получения и обработки являются сведения, используемые работодателем, для выполнения требований:

- трудового законодательства при приеме на работу и заключении трудового договора, в процессе трудовых отношений, при предоставлении гарантий и компенсаций и др.;

- налогового законодательства в связи с исчислением и уплатой налога на доходы физических лиц, а также единого социального налога;

- пенсионного законодательства при формировании и предоставлении персонифицированных данных о каждом получателе доходов, учитываемых при начислении страховых взносов на обязательное пенсионное страхование и обеспечение;

- заполнения первичной статистической документации в соответствии с Постановлением Госкомстата РФ от 05 января 2004 г. № 1 «Об утверждении унифицированных форм первичной учетной документации по учету труда и его оплаты» [307].

При этом помимо положений ТК РФ, следует учитывать нормы Федерального закона от 27 июля 2006 г. «О персональных данных»[308], в п. 1 ст. 3 которого сказано, что персональные данные – это любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.

Соответственно, локальным нормативным актом можно устанавливать перечень документов, которые подлежат особой охране в связи с наличием в них персональных данных работника (например, это трудовая книжка, документы об образовании, повышении квалификации и переподготовке работника, его аттестации, служебных расследованиях, результаты медицинского обследования на предмет годности к осуществлению трудовых обязанностей, фотографии, рекомендации, характеристики, приказы и распоряжения в отношении указанного лица и т.п.); при этом перечень документов, которые работодатель может потребовать при приеме работника на работу, установлен ст. 65 ТК РФ. Также можно более точно определить и перечень сведений, не подлежащих разглашению без согласия на то работника, применительно к трудовым отношениям (например, это могут быть сведения о предыдущем месте работы, о составе семьи, паспортные данные, сведения о воинском учете, сведения о социальном статусе и социальных льготах, сведения об имеющихся у работника специальностях и профессиях, о занимаемой должности, о наличии судимостей, об адресе места жительства и номерах телефонов, о содержании трудового договора и т.д.). При этом на отдельные виды указанных выше сведений режим конфиденциальности может не распространяться при условии обезличивания данных, как это происходит при предоставлении в соответствующие органы и организации справок, отчетов, статистических данных и т.д.

Локальным нормативным актом следует определять порядок обработки персональных данных работника, то есть их получения, хранения, комбинирования, передачи или любого другого использования (ст. 85 ТК РФ), хотя формально по ст. 88 ТК РФ он принимается для целей регулирования процесса передачи (курсив авт.) персональных данных работника в пределах одной организации (у одного индивидуального предпринимателя). Обработка персональных данных в соответствии с ее легальным определением – это более широкое понятие, которое включает в себя передачу персональных данных как одну из форм обработки. Передача персональных данных отличается от всех иных форм их обработки тем, что осуществляется в пользу третьих лиц, то есть во внешних для организации-работодателя отношениях. Степень возможного нарушения субъективного права работника при передаче персональных данных выше, чем при их получении, хранении или комбинировании. Поэтому ряд норм ТК РФ посвящен общим требованиям к обработке персональных данных, а некоторые – специальным правилам передачи персональных данных. И, таким образом, локальный нормативный акт работодателя по его функциональному назначению может быть посвящен как общим вопросам, так и специальным (первый вариант предпочтительнее).

В соответствии со ст. 86 ТК РФ работодатель и его представители в целях обеспечения прав и свобод человека и гражданина при обработке (курсив авт.) персональных данных работника обязаны соблюдать следующие общие требования:

1) обработка персональных данных работника может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества;

2) при определении объема и содержания обрабатываемых персональных данных работника работодатель должен руководствоваться Конституцией Российской Федерации, ТК РФ и иными федеральными законами;

3) все персональные данные работника следует получать у него самого, и если персональные данные работника возможно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Работодатель должен сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение;

4) работодатель не имеет права получать и обрабатывать персональные данные работника о его политических, религиозных и иных убеждениях и частной жизни. В случаях, непосредственно связанных с вопросами трудовых отношений, в соответствии со статьей 24 Конституции Российской Федерации работодатель вправе получать и обрабатывать данные о частной жизни работника только с его письменного согласия;

5) работодатель не имеет права получать и обрабатывать персональные данные работника о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных ТК РФ или иными федеральными законами;

6) при принятии решений, затрагивающих интересы работника, работодатель не имеет права основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного получения;

7) защита персональных данных работника от неправомерного их использования или утраты должна быть обеспечена работодателем за счет его средств в порядке, установленном ТК РФ и иными федеральными законами;

8) работники и их представители должны быть ознакомлены под роспись с документами работодателя, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области;

9) работники не должны отказываться от своих прав на сохранение и защиту тайны;

10) работодатели, работники и их представители должны совместно вырабатывать меры защиты персональных данных работников.

Эти требования определены на основе принципов обработки персональных данных, закрепленных в п. 1 ст. 5 Федерального закона «О персональных данных»; это:

1) законность целей и способов обработки персональных данных и добросовестности;

2) соответствие целей обработки персональных данных целям, заранее определенным и заявленным при сборе персональных данных, а также полномочиям оператора – лица, организующего и (или) осуществляющего обработку персональных данных, а также определяющего цели и содержание обработки персональных данных – п. 2 ст. 3 Закона);

3) соответствие объема и характера обрабатываемых персональных данных, способов обработки персональных данных целям обработки персональных данных;

4) достоверность персональных данных, их достаточности для целей обработки, недопустимость обработки персональных данных, избыточных по отношению к целям, заявленным при сборе персональных данных;

5) недопустимость объединения созданных для несовместимых между собой целей баз данных информационных систем персональных данных.

Для реализации названных выше гарантий все персональные данные работника следует получать у него самого. Работник должен предоставлять работодателю только достоверные сведения о себе, которые работодатель проверяет, как правило, путем сверки данных, предоставленных работником, с имеющимися у работника документами. Предоставление работником работодателю подложных документов при заключении трудового договора может явиться основанием для расторжения этого договора по инициативе работодателя (п. 11 части первой ст. 81 ТК РФ), а впоследствии возможны меры дисциплинарной ответственности за нарушение обязанностей, установленных именно тем локальным актом, о котором идет речь.

Если персональные данные работника можно получить только у третьих лиц, то работник должен быть уведомлен об этом заранее, и от него должно быть получено на это письменное согласие. Работодатель также должен сообщать работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных.

В организации должны существовать правила сбора и хранения персональных данных работников. Так, если в организации новый работник заполняет анкету и / или пишет автобиографию (это становится возможным после заключения трудового договора, так как до этого локальные акты работодателя на работника не распространяются), то следует определить содержание этих документов, лицо, которому должны быть переданы эти сведения, набор прилагаемых к анкете / автобиографии документов. Например, если возникает вопрос о предоставлении налоговых вычетов в связи с наличием несовершеннолетних детей, нужно подтвердить их наличие соответствующим свидетельством. При этом следует иметь в виду, что работник имеет «право на ложь» (так этот термин звучит во многих странах) в тех вопросах, которые работодатель задает сверх того, что действительно требуется ему по объективным причинам. Поэтому спорные вопросы работнику лучше не задавать, и в любом случае не делать этого до заключения трудового договора, так как ни анкета, ни автобиография, ни какой-либо другой документ, содержащий персональные данные работника, кроме перечисленных в ст. 65 ТК РФ, не может быть основанием для отказа в заключении с лицом трудового договора (ст.ст. 64, 65 ТК РФ).

Для хранения документов, содержащих персональные данные работника, обычно заводится его личное дело. Его форма, содержание и условия хранения определяются локальными нормами. Например, в локальном нормативном акте об обработке персональных данных может быть указано, что личное дело заводится после заключения с работником трудового договора или после издания приказа (распоряжения) о его приеме на работу. Все документы личного дела могут подшиваться в обложку образца, установленного в организации, с указанием на ней фамилии, имени и, если оно есть, отчества работника, номера личного дела и т.д. Если для целей идентификации личности работника требуются фотографии, это следует указать в локальном акте и обеспечить фотографирование сотрудника силами работодателя (иное – только с согласия работника). Обычно все документы, поступающие в личное дело, располагаются в хронологическом порядке, а листы документов, подшитых в личное дело, нумеруются, и об этом делается отметка в описи, содержащейся в личном деле. Личное дело должно вестись на протяжении всей трудовой деятельности работника, а все изменения, вносимые в личное дело, должны подтверждаться соответствующими документами.

Личные дела и документы, содержащие персональные данные работников, нужно хранить каким-то способом, обеспечивающих их защиту от несанкционированного доступа, например, в запирающихся шкафах (сейфах), а персональные компьютеры, в которых содержатся базы персональных данных, должны быть защищены паролями доступа. Так, в соответствии с п. 1 ст. 19 Федерального закона «О персональных данных» оператор при обработке персональных данных обязан принимать необходимые организационные и технические меры, в том числе использовать шифровальные (криптографические) средства, для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий.

Работодатель должен обеспечить работнику реализацию прав на полную информацию о своих персональных данных и итогах их обработки, на свободный бесплатный доступ к его собственным персональным данным, включая право на получение копий выписок и записей, содержащих данные сотрудника; на доступ к медицинским данным, полученным в результате медицинского осмотра, в том числе с помощью медицинского специалиста по их выбору. Работнику необходимо обеспечить право требовать исключения или исправления неверных или неполных персональных данных, а также данных, обработанных с нарушением. Если речь идет о данных оценочного характера, работнику необходимо предоставить право заявить о своем несогласии или право выразить его собственную точку зрения. При ошибках, допущенных работодателем во взаимоотношениях с третьими лицами, ему следует установить собственную обязанность извещать всех лиц, которым ранее были сообщены неверные или неполные персональные данные сотрудника, обо всех произведенных в них исключениях, исправлениях или дополнениях (ст. 89 ТК РФ).

В отношении работника целесообразным является закрепление в локальном акте встречных обязанностей, например, срока, отводимого на сообщение об изменениях в составе персональных данных. Этот срок должен быть разумным и может различаться применительно к тем или иным сведениям. Нужно определить также порядок предоставления сведений и документов, в том числе альтернативный – по почте или через передачу их уполномоченному лицу организации. Общими санкциями за неисполнение таких обязанностей могут быть меры дисциплинарной ответственности и последствия злоупотребления работником своим правом.

В соответствии со ст. 88 ТК РФ при передаче персональных данных работника работодатель должен соблюдать следующие требования:

- не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных ТК РФ или иными федеральными законами;

- не сообщать персональные данные работника в коммерческих целях без его письменного согласия;

- предупредить лиц, получающих персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные работника, обязаны соблюдать режим секретности (конфиденциальности), причем данное положение не распространяется на обмен персональными данными работников в порядке, установленном ТК РФ и иными федеральными законами;

- осуществлять передачу персональных данных работника в пределах одной организации, у одного индивидуального предпринимателя в соответствии с локальным нормативным актом, с которым работник должен быть ознакомлен под роспись;

- разрешать доступ к персональным данным работников только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные работника, которые необходимы для выполнения конкретных функций;

- не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции;

- передавать персональные данные работника представителям работников в порядке, установленном ТК РФ и иными федеральными законами, и ограничивать эту информацию только теми персональными данными работника, которые необходимы для выполнения указанными представителями их функций.

Соответственно, локальным актом следует уточнить тот круг лиц, которым могут быть переданы персональные данные сотрудников. Например, внутри организации это могут быть ее руководитель (или индивидуальный предприниматель), начальник службы управления персоналом или отдела кадров, руководители структурных подразделений (с правом доступа к данным только сотрудников своего подразделения; иных – по объективной необходимости); сотрудники бухгалтерии – к тем данным, которые необходимы для начисления заработной платы, и т.д. Внешний доступ к персональным данным следует обеспечить налоговым инспекциям и соответствующим инспекциям труда, правоохранительным органам, органам статистики и обязательного государственного страхования, военкоматам и иным, указанным в федеральных законах. При этом ответы на письменные запросы других организаций и учреждений в пределах их компетенции и предоставленных полномочий даются в том объеме, который позволяет не разглашать излишний объем персональных сведений о работниках организации.

Сведения о работающем сотруднике или уже уволенном могут быть предоставлены другой организации только с письменного запроса этой организации с приложением к ней документа, подтверждающего соответствующее согласие работника. Также только с письменного разрешения сотрудника его персональные данные могут быть предоставлены родственникам или членам его семьи.

Следует также указать на общий запрет передачи персональных данных работника, в том числе по телефону, факсу, электронной почте и т.п. За нарушение положений локального акта о защите и обработке персональных данных работника имеется специальная дисциплинарная санкция – увольнение за разглашение охраняемой законом тайны (государственной, коммерческой, служебной и иной), ставшей известной работнику в связи с исполнением им трудовых обязанностей, в том числе разглашение персональных данных другого работника (пп. «в» п. 6 части первой ст. 81 ТК РФ). Также может последовать и полная материальная ответственность – сначала работодателя, а затем в порядке регресса – разгласившего тайну работника (п. 7 части первой ст. 243 ТК РФ). Имеется также основание для административной ответственности (ст. 13.11 КоАП РФ) и в некоторых случаях – для уголовной. Информативно эти сведения также можно поместить в соответствующий локальный нормативный акт.

Дата добавления: 2015-07-08