Глава 14. Защита персональных данных работника

Статья 85. Утратила силу. - Федеральный закон от 07.05.2013 N 99-ФЗ.

Статья 86. Общие требования при обработке персональных данных работника и гарантии их защиты

Комментарий к статье 86

1. Основой для формирования отраслевых норм о защите информации являются отнесенные к числу основных прав человека права на неприкосновенность частной жизни, личную тайну. Так, Всеобщая декларация прав человека 1948 г. в ст. 12 провозглашает, что никто не может подвергаться произвольному вмешательству в его личную и семейную жизнь, произвольным посягательствам на неприкосновенность его жилища, тайну его корреспонденции или на его честь и репутацию. Каждый человек имеет право на защиту закона от такого вмешательства или таких посягательств. Аналогичное правило содержится в ст. 17 Международного пакта о гражданских и политических правах 1966 г.

Статья 8 Конвенции о защите прав человека и основных свобод 1950 г. обязывает государства - участников Конвенции обеспечить право каждого человека на уважение его личной и семейной жизни, его жилища и его корреспонденции. Вмешательство в осуществление этого права государственных органов не допускается, за исключением вмешательства, предусмотренного законом и необходимого в демократическом обществе в интересах государственной безопасности и общественного спокойствия, экономического благосостояния страны, в целях предотвращения беспорядков или преступлений, для охраны здоровья или нравственности или защиты прав и свобод других лиц. Аналогично трактует данное право и ст. 9 Конвенции СНГ "О правах и основных свободах человека" 1995 г.

Конституция РФ гарантирует каждому человеку право на неприкосновенность частной жизни, личную и семейную тайну (ст. 23). При этом сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются (ч. 1 ст. 24). К информации, защищаемой на конституционном уровне, относятся сведения о национальной принадлежности, политических, религиозных и иных убеждениях работника, его частной, в том числе и семейной, жизни. В то же время каждый имеет право свободно искать, получать, передавать, производить и распространять информацию любым законным способом (ч. 4 ст. 29). Каждое из указанных прав может быть ограничено исключительно федеральным законом и только в той мере, в какой это необходимо в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства.

2. Понятие "персональные данные работника" сформулировано в ст. 2 Конвенции Совета Европы "О защите личности в связи с автоматической обработкой персональных данных" 1981 г., которая под персональными данными понимает "информацию, касающуюся конкретного или могущего быть идентифицированным лица (субъекта данных)". Федеральный закон от 27 июля 2006 г. N 152-ФЗ "О персональных данных" дает следующее определение данного понятия: персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Сравнивая указанные определения, можно сделать вывод о характере персональных данных:

а) они представляют собой информацию, т.е. какие-либо сведения о лицах, предметах, фактах, событиях, явлениях и процессах независимо от формы их представления;

б) они являются сведениями, направленными на идентификацию личности в широком смысле данного понятия (не только об идентификационных характеристиках личности как физического лица, т.е. фамилии, имени, отчестве, дате рождения и т.п., но и ее биографии, навыках, профессиональных характеристиках).

Таким образом, между приведенными определениями нет принципиальных различий.

3. Получение определенной информации о работнике является обязанностью работодателя. Такая информация необходима работодателю в первую очередь для исполнения обязанностей, возложенных на него ТК. В частности, установление особых правил регулирования труда работников в возрасте до 18 лет (гл. 42), лиц с семейными обязанностями (гл. 41) предполагает необходимость получения работодателем информации о возрасте работника, о наличии или об отсутствии у него детей, а нормы о преимущественном праве оставления на работе (ст. 179) - еще и о составе его семьи.

Получение работодателем информации о работнике косвенно определяется и законодательством иной отраслевой принадлежности. Так, ст. 24 Налогового кодекса РФ (далее - НК) наделяет работодателя статусом налогового агента работника. В этом статусе работодатель обязан правильно и своевременно исчислять и перечислять налоги в бюджетную систему Российской Федерации, вести учет начисленных и выплаченных налогоплательщикам доходов, удержанных и перечисленных в бюджетную систему Российской Федерации налогов, в том числе персонально по каждому налогоплательщику.

4. Статья 9 Федерального закона от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации" относит персональные данные граждан к информации ограниченного доступа. Порядок доступа к ней устанавливается федеральным законом. Данный правовой режим персональных данных работника предполагает особый порядок работы с указанными данными, особый режим их охраны.

5. Под обработкой персональных данных понимается любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (ст. 3 Федерального закона "О персональных данных"). Обработка персональных данных работника охватывает все стадии работы работодателя с этими данными от их получения до передачи иным лицам в соответствии с действующим законодательством.

6. Конвенция Совета Европы о защите личности в связи с автоматической обработкой персональных данных устанавливает, что персональные данные должны: быть получены и обработаны добросовестным и законным образом; накапливаться для точно определенных и законных целей и не использоваться в противоречии с этими целями; быть адекватными, относящимися к делу и не быть избыточными применительно к целям, для которых они накапливаются; быть точными и при необходимости обновляться; храниться в такой форме, которая позволяет идентифицировать субъектов данных не дольше, чем этого требует цель, для которой эти данные накапливаются.

Принципы обработки персональных данных сформулированы в ст. 5 Федерального закона "О персональных данных": а) законность и справедливость; б) достижение конкретных, заранее определенных и законных целей; в) недопустимость объединения баз данных, обработка которых осуществляется в целях, несовместимых между собой; г) обработка только тех персональных данных, которые отвечают заявленным целям; д) достаточность персональных данных для целей обработки, недопустимость обработки персональных данных, избыточных по отношению к целям, заявленным при их сборе; е) точность, достаточность и актуальность персональных данных; ж) ограниченность срока хранения персональных данных целями их обработки.

Пункт 1 комментируемой статьи устанавливает конкретные цели обработки персональных данных работника. Работа с ними осуществляется работодателем не только напрямую в целях обеспечения личной безопасности работников (обеспечение права на труд в условиях безопасности и гигиены), содействия работникам в трудоустройстве, получении образования и продвижении по службе (обеспечение прав на заключение трудового договора, профессиональную подготовку, развитие личности), но и в целях оптимального исполнения работодателем своих обязанностей перед работником, а также для обеспечения контроля количества и качества выполняемой работы, сохранности имущества. В данном случае речь идет об обеспечении сохранности имущества работодателя. Достижению этой цели способствует, например, получение работодателем информации о приговоре суда, которым работник лишен права заниматься деятельностью, связанной с обслуживанием денежных, товарных ценностей или иного имущества.

7. Трудовой кодекс не содержит перечня сведений, которые работодатель вправе собирать в отношении конкретного работника, ограничиваясь указанием, что при определении объема и содержания обрабатываемых персональных данных работника работодатель должен руководствоваться Конституцией РФ, ТК и иными федеральными законами.

В соответствии с ТК (см. ст. 65 ТК и комментарий к ней) при приеме на работу работодатель получает о работнике следующую информацию:

о стаже работника, подтверждаемом трудовой книжкой (данная информация необходима для определения размера выплачиваемого работнику пособия по временной нетрудоспособности);

о регистрации работника в системе государственного пенсионного страхования, подтверждаемой страховым свидетельством государственного пенсионного страхования;

о состоянии работника на воинском учете, подтверждаемую документами воинского учета (для военнообязанных и лиц, подлежащих призыву на военную службу);

об образовании, квалификации работника, наличии у него специальных знаний, что подтверждается документами об образовании, о квалификации или наличии специальных знаний (при поступлении на работу, требующую специальных знаний или специальной подготовки);

о возрасте работника, месте его жительства, гражданстве, подтверждаемую паспортом или иным документом, удостоверяющим личность;

о наличии или об отсутствии у работника семейных обязанностей, что подтверждается паспортом;

о наличии (об отсутствии) судимости и (или) факта уголовного преследования либо о прекращении уголовного преследования по реабилитирующим основаниям (при поступлении на работу, связанную с деятельностью, к осуществлению которой не допускаются лица, имеющие или имевшие судимость, подвергающиеся или подвергавшиеся уголовному преследованию.

Перечень стандартизированных персональных данных работника, получаемых от него работодателем, можно определить на основании Постановления Государственного комитета РФ по статистике от 5 января 2004 г. N 1 "Об утверждении унифицированных форм первичной учетной документации по учету труда и его оплаты", которым утверждена форма личной карточки работника. К этим сведениям относятся данные о дате и месте рождения работника; о гражданстве, знании иностранного языка; об образовании (образовательной организации, которую окончил работник, квалификации по диплому); о состоянии работника в браке, составе семьи с указанием фамилии, имени, отчества, года рождения ближайших родственников; о документе, удостоверяющем личность работника; об адресе места жительства (по паспорту и фактическом); о номере домашнего телефона; о состоянии работника на воинском учете.

Круг сведений, определенных данным Постановлением, расширен по сравнению с федеральным законом. При этом сбор информации о ближайших родственниках работника, за исключением информации о детях или родственниках, за которыми требуется постоянный уход, не соответствует общему принципу, согласно которому работодатель собирает только ту информацию, которая может быть использована в трудовых отношениях. Впрочем, отказ работника от ее предоставления не может повлечь для него неблагоприятных последствий.

В силу своих обязанностей налогового агента работника (ст. 24 НК) работодатель должен иметь информацию о дате рождения работника, реквизитах документа, удостоверяющего личность работника-налогоплательщика, полном адресе постоянного места жительства работника, об идентификационном номере налогоплательщика - физического лица (если такой номер имеется), о номере страхового свидетельства работника в системе обязательного пенсионного страхования (если такой номер имеется), а также информацию, на основании которой производятся налоговые вычеты.

В целях регистрации работника в системе государственного пенсионного страхования работодатель обязан иметь информацию о дате и месте рождения работника, адресе его постоянного места жительства, серии, номере, дате и месте выдачи паспорта или иного документа, удостоверяющего личность, наименовании органа, выдавшего соответствующий документ, гражданстве работника, фамилии, которая была у работника при рождении (ст. 6 Федерального закона от 1 апреля 1996 г. N 27-ФЗ "Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования").

8. По общему правилу все персональные данные работника работодатель должен получать у самого работника. Однако из данного правила установлено исключение - в том случае, когда персональные данные работника могут быть получены исключительно у какого-либо третьего лица, то получение соответствующих сведений возможно не у работника, а у данного лица. При этом работник должен быть извещен о предполагаемом получении его персональных данных у иного лица (государственного органа, предыдущего работодателя и т.п.) до обращения к соответствующему лицу с запросом о предоставлении персональных данных работника. Такое извещение целесообразно осуществлять в форме уведомления о будущем получении персональных данных работника у иного лица, предъявляемого работнику под расписку. При отказе работника от ознакомления с данным уведомлением об этом составляется акт, который должен быть подписан лицами, предъявившими работнику соответствующее уведомление.

В уведомлении указываются цели получения персональных данных работника у иного лица, предполагаемые источники информации (лица, у которых будут запрашиваться персональные данные работника), способы получения персональных данных, их характер, а также те последствия, которые наступят, если работник откажет работодателю в получении персональных данных у иного лица. Цели получения персональных данных работника у иного лица работодателю необходимо определять в соответствии с п. 1 комментируемой статьи.

Получение персональных данных работника у иного лица возможно только при наличии письменного согласия работника на такое получение. Письменное согласие работника должно включать: фамилию, имя, отчество, адрес работника, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе; наименование (фамилию, имя, отчество) и адрес работодателя, получающего согласие; цель обработки персональных данных; перечень персональных данных, на обработку которых дается согласие; перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых работодателем способов обработки персональных данных; срок, в течение которого действует согласие, а также способ его отзыва, подпись работника (ст. 9 Федерального закона "О персональных данных"). Данный порядок получения персональных данных распространяется также на случаи проверки работодателем персональных данных, представленных работником и вызывающих у работодателя обоснованные сомнения, и на случаи сокрытия работником информации, относящейся к его персональным данным.

9. По общему правилу работодатель не вправе получать данные о расовой, национальной принадлежности работника, его политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни. Данное правило направлено на защиту работника от возможной дискриминации по причине его убеждений или особенностей частной жизни (в частности, его сексуальной ориентации).

Вместе с тем в ряде случаев информация о политических или религиозных убеждениях работника может иметь существенное значение для заключения с ним трудового договора или сохранения трудовых отношений. Так, если характер трудовой функции работника, занятого в религиозной организации, предполагает его участие в совершении религиозных обрядов, осуществляемом в соответствии с внутренними наставлениями религиозной организации лицами, исповедующими определенную религию или над которыми был совершен определенный религиозный обряд, работодатель должен обладать информацией о религиозных убеждениях работника.

Работодатель вправе получать информацию о состоянии здоровья работника путем проведения в установленных федеральными законами случаях медицинского освидетельствования при заключении трудового договора, периодических и внеочередных медицинских осмотров (см. ст. ст. 69, 213, 266 ТК и комментарий к ним), что направлено на охрану здоровья работника.

Данные о частной жизни работника работодатель вправе получать только с его согласия. Как правило, предоставление таких данных осуществляется непосредственно работником в целях реализации его прав и интересов. К информации о частной жизни работника относятся прежде всего данные о семейных обязанностях работника, о наличии или об отсутствии у него детей. Следует, однако, иметь в виду, что информация о частной жизни работника может поступать к работодателю и от третьих лиц. Так, органы следствия могут потребовать от работодателя отстранить от работы работника, выполняющего воспитательные функции, при совершении им не при исполнении трудовых обязанностей аморального проступка, содержащего признаки преступления. В этом случае данные о частной жизни работника приобретают значение данных предварительного следствия и могут быть использованы работодателем, несмотря на отсутствие письменного согласия работника на их обработку.

10. Данные о членстве работника в общественных объединениях или его профсоюзной деятельности работодатель по общему правилу не имеет права собирать и обрабатывать. Получение этих данных возможно в случаях, предусмотренных ТК или иными федеральными законами. Трудовой кодекс обязывает работодателя перед увольнением работника, являющегося членом профсоюза, в определенных случаях испросить мотивированное мнение выборного органа первичной профсоюзной организации (см. ст. 82 ТК и комментарий к ней), признать в качестве представительного профсоюза ту первичную профсоюзную организацию, которая объединяет более половины работников (см. ст. 37 ТК и комментарий к ней). Увольнение руководителей выборных коллегиальных органов первичных профсоюзных организаций и их заместителей по ряду оснований допустимо только с предварительного согласия вышестоящего выборного профсоюзного органа (см. ст. 374 ТК и комментарий к ней).

Соответственно, ТК фактически обязывает работодателя собирать и обрабатывать информацию о членстве работника в конкретном профсоюзе и о его профсоюзной деятельности. При этом вышеуказанные нормы фактически не только побуждают работодателя искать информацию о членах профсоюза и профсоюзных активистах, но и обязывают профессиональный союз предоставлять такую информацию по запросу работодателя. Это в свою очередь может привести к оказанию давления на членов профсоюза со стороны недобросовестного работодателя.

11. Под автоматизированной обработкой персональных данных следует понимать операции, полностью или частично осуществляемые с применением автоматизированных средств. Автоматизированные базы данных могут быть географически разрознены и собираться воедино через компьютерные сети. Базы данных, хранящиеся в электронном виде, в большей мере, чем информация, содержащаяся на бумажном носителе, доступны для неправомерного внедрения и корректировки или для корректировки, осуществляемой в результате сбоя в компьютерной программе. Поэтому персональные данные работника, полученные или обрабатываемые исключительно в автоматизированном (электронном) виде, не могут быть положены в основу решения работодателя, затрагивающего интересы работника.

Однако установление данного правила не означает, что персональные данные работника должны в обязательном порядке переводиться на бумажный носитель.

Допустимыми будут действия работодателя, который во избежание возможной ошибки перед принятием решения ознакомит работника с его персональными данными, хранящимися в автоматизированном (электронном) виде, с целью сверки этих данных и фиксации на бумажном носителе характера этих данных, времени ознакомления с ними работника и личной подписи работника в подтверждение точности сохраняемых данных. В целях подтверждения работодателем своей позиции при разрешении возможных трудовых споров персональные данные работника следует сохранять не только в автоматизированном (электронном) виде, но и на бумажном носителе.

12. Защита персональных данных работника от их неправомерного использования или утраты является обязанностью работодателя и осуществляется им в соответствии с ТК и Федеральным законом "О персональных данных". Как правило, разработка мероприятий по защите персональных данных работника осуществляется в рамках общих мероприятий по защите информации ограниченного доступа, находящейся в собственности или во владении работодателя.

13. Порядок получения, хранения, передачи и любого иного использования персональных данных работника должен быть зафиксирован в специальном локальном нормативном акте (актах). Соответствующий порядок может устанавливаться как в приказе (распоряжении) работодателя, так и в коллективном договоре в качестве одного из приложений к нему. С необходимым актом, а также со своими правами в сфере защиты персональных данных работники должны быть ознакомлены под роспись.

14. Право работника как человека и гражданина на неприкосновенность частной жизни, личную и семейную тайну в силу ч. 2 ст. 17 Конституции РФ принадлежит ему от рождения и неотчуждаемо. Отказ работника от своего права на сохранение и защиту тайны юридически ничтожен и не порождает никаких правовых последствий.

15. Несмотря на то что защита персональных данных работника от их неправомерного использования или утраты возложена на работодателя, работники и их представители участвуют в создании системы защиты персональных данных. Участие работников и их представителей в выработке таких мер позволяет установить более стройную систему охраны информации о работнике, повысить уровень информированности работников о соответствующей деятельности работодателя, способствует увеличению степени ответственности тех работников, которые в силу своей трудовой функции участвуют в обработке персональных данных.

Статья 87. Хранение и использование персональных данных работников

Комментарий к статье 87

1. Порядок хранения персональных данных работника определяется работодателем самостоятельно либо с участием работников и их представителей.

Персональные данные работника хранятся в документированной форме, характер которой определяется работодателем. Стандартизированный перечень документации по учету труда и его оплаты утвержден Постановлением Государственного комитета РФ по статистике от 5 января 2004 г. N 1 "Об утверждении унифицированных форм первичной учетной документации по учету труда и его оплаты".

2. Документы, содержащие информацию о конкретном работнике, соединяются в личном деле работника. Порядок его ведения и хранения устанавливается работодателем.

Требования по ведению личного дела государственного гражданского служащего предусмотрены ст. 42 Федерального закона от 27 июля 2004 г. N 79-ФЗ "О государственной гражданской службе Российской Федерации". В личное дело государственного гражданского служащего вносятся его персональные данные и иные сведения, связанные с поступлением на гражданскую службу, с ее прохождением, увольнением с гражданской службы и необходимые для обеспечения деятельности государственного органа. Порядок ведения личного дела государственного гражданского служащего определяется Положением о персональных данных государственного гражданского служащего Российской Федерации и ведении его личного дела, утв. Указом Президента РФ от 30 мая 2005 г. N 609.

3. Документом, содержащим персональные данные работника о его трудовой деятельности и трудовом стаже, также является трудовая книжка. Подробнее о ведении трудовых книжек см. ст. 66 ТК и комментарий к ней.

4. Работу по хранению и использованию персональных данных работника осуществляют лица, состоящие с работодателем в трудовых отношениях (сотрудники кадровых, бухгалтерских и иных служб). Поэтому к числу мер по охране персональных данных относится и установление конкретных обязанностей этих работников по обеспечению конфиденциальности информации, относящейся к охраняемой законом тайне. Соответствующее условие должно быть включено в трудовой договор с работником, обрабатывающим персональные данные иных работников (ч. 4 ст. 57 ТК). Следует, однако, помнить, что на работодателя возлагается обязанность создавать условия, обеспечивающие исполнение работником своих должностных функций по защите охраняемой законом тайны. В частности, работодатель должен создать технические условия охраны персональных данных работников от их неправомерного использования (особый режим доступа в помещение, где хранится соответствующая информация, оборудование мест ее хранения, исключающее несанкционированный доступ к информации, и т.п.).

5. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки, если срок хранения персональных данных не установлен федеральным законом или трудовым договором и они подлежат уничтожению или обезличению по достижении целей обработки или в случае утраты необходимости в их достижении (ст. 5 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных").

Сроки хранения персональных данных работников определяются на основании Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков хранения, утв. Приказом Министерства культуры РФ от 25 августа 2010 г. N 558. В частности, личные дела руководителя организации, членов руководящих, исполнительных, контрольных органов организации, работников, имеющих государственные и иные звания, премии, награды, степени и звания, хранятся постоянно, а иных работников - в течение 75 лет.

6. Использование работодателем персональных данных работника осуществляется исключительно в целях обеспечения соблюдения требований законодательства, обеспечения трудовых прав работника и его личной безопасности, ведения контроля количества и качества выполняемой работы, обеспечения сохранности имущества.

Статья 88. Передача персональных данных работника

Комментарий к статье 88

1. По общему правилу персональные данные работника не могут быть переданы третьей стороне, за исключением: а) выдачи работником письменного согласия на передачу своих персональных данных третьей стороне; б) передачи персональных данных работника в целях предупреждения угрозы жизни и здоровью самого работника; в) иных случаев, установленных федеральным законом.

2. При определении допустимости выдачи работником работодателю письменного согласия на передачу своих персональных данных третьей стороне следует руководствоваться установленным Конституцией РФ и п. 9 ст. 86 ТК запретом на отказ со стороны работника от своего права на неприкосновенность частной жизни, личную и семейную тайну.

3. Получателями персональных данных работника на законном основании по общему правилу являются государственные органы и иные организации, обеспечивающие реализацию прав граждан и общественную безопасность.

В соответствии со ст. 5 Федерального закона от 24 июля 1998 г. N 125-ФЗ "Об обязательном социальном страховании от несчастных случаев на производстве и профессиональных заболеваний" физические лица, выполняющие работу на основании трудового договора, подлежат обязательному социальному страхованию от несчастных случаев на производстве и профессиональных заболеваний. Данный Закон в п. 7 ст. 17 обязывает работодателя собирать и представлять за свой счет страховщику в установленные страховщиком сроки документы, являющиеся основанием для начисления и уплаты страховых взносов, назначения обеспечения по страхованию, и иные сведения, необходимые для осуществления обязательного социального страхования от несчастных случаев на производстве и профессиональных заболеваний.

Работодатель обязан представить в соответствующий орган Пенсионного фонда РФ сведения обо всех лицах, работающих у него по трудовому договору, в объеме, необходимом для целей обязательного пенсионного страхования (ст. ст. 6, 8 Федерального закона от 1 апреля 1996 г. N 27-ФЗ "Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования").

Выступая в качестве налогового агента работников, исчисляющего, удерживающего из средств, выплачиваемых работникам, и перечисляющего в бюджет соответствующие налоги, работодатель обязан представлять в налоговый орган по месту своего учета документы, необходимые для осуществления контроля за правильностью исчисления, удержания и перечисления налогов (ст. 24 НК).

В соответствии со ст. 357 ТК государственные инспекторы труда при осуществлении надзорной деятельности имеют право запрашивать у работодателей и безвозмездно получать от них документы и информацию, необходимые для выполнения надзорных и контрольных функций, включая персональные данные работников.

Информация о групповом несчастном случае на производстве, тяжелом несчастном случае на производстве, несчастном случае на производстве со смертельным исходом должна быть направлена работодателем в организации, поименованные в ст. 228.1 ТК.

Кроме того, персональные данные работника могут получить при осуществлении своей деятельности органы прокуратуры (ст. 4 Федерального закона от 17 января 1992 г. N 2202-1 "О прокуратуре Российской Федерации"), органы полиции (ст. 13 Федерального закона от 7 февраля 2011 г. N 3-ФЗ "О полиции"), органы Федеральной службы безопасности РФ (ст. 13 Федерального закона от 3 апреля 1995 г. N 40-ФЗ "О Федеральной службе безопасности"), судебные приставы-исполнители (ст. 12 Федерального закона от 21 июля 1997 г. N 118-ФЗ "О судебных приставах"; ст. 64 Федерального закона от 2 октября 2007 г. N 229-ФЗ "Об исполнительном производстве"), негосударственные пенсионные фонды (ст. 15 Федерального закона от 7 мая 1998 г. N 75-ФЗ "О негосударственных пенсионных фондах").

4. В современных условиях работодатель зачастую представляет своим контрагентам информацию о занятых у него работниках в целях заключения нового или продления действия уже заключенного договора. Комментируемая статья допускает передачу персональных данных работника в коммерческих интересах работодателя, но ограничивает такую передачу исключительно теми случаями, когда работник дает согласие на сообщение своих персональных данных конкретному третьему лицу в письменной форме. Выдача согласия на передачу персональных данных работника неопределенному кругу третьих лиц или без ограничения сроков такой передачи не порождает правовых последствий и не может служить основанием для передачи персональных данных работника.

5. Поскольку персональные данные относятся к категории конфиденциальной информации, любые лица, обладающие данной информацией, обязаны соблюдать специальный режим использования и защиты персональных данных работников. Лица, получившие персональные данные работника на законном основании, обязаны использовать их исключительно в целях, которые заявлялись при запросе соответствующей информации, а также не разглашать такую информацию. Исключения из данного правила определяются только федеральными законами. Необходимость дальнейшей передачи персональных данных работников может, в частности, вытекать из законодательства об административных правонарушениях, уголовного процессуального законодательства. Например, протокол об административном правонарушении, в котором могут содержаться персональные данные работника, в том случае, когда лицо, его составившее, не имеет права рассматривать дело об административном правонарушении, передается соответствующему лицу в течение трех суток с момента составления протокола (ст. 28.8 КоАП).

Работодатель, передающий персональные данные работника третьим лицам, вправе потребовать от этих лиц строго целевого использования этих данных и представления доказательств соблюдения данного правила. Форма такого требования определяется работодателем самостоятельно, а форма представления доказательств исполнения третьим лицом своей обязанности по сохранению конфиденциальности персональных данных - по соглашению сторон.

6. В деятельности любого работодателя неизбежно возникает необходимость периодической передачи персональных данных работника от одного структурного подразделения (работника) к другому. Например, информация о новом работнике или об изменении персональных данных передается кадровой службой в бухгалтерию. Такая передача осуществляется в порядке, установленном локальным нормативным актом. Установление обязанности ознакомить работника с таким актом под роспись способствует прозрачности работы по обработке персональных данных и более полной реализации права человека на охрану неприкосновенности его личной жизни.

7. Доступ к персональным данным работников в процессе их обработки ограничивается кругом лиц, для которых обработка соответствующих данных является одной из должностных обязанностей (сотрудники кадровых, бухгалтерских и иных служб). Право доступа к персональным данным работников предоставлено также лицам, осуществляющим функции надзора и контроля за соблюдением работодателями законодательства о труде, а также лицам, контролирующим правильность исполнения работодателем своих обязанностей как налогового агента работника или страхователя в системе обязательного государственного страхования. Подробнее о лицах, осуществляющих функции надзора и контроля за соблюдением работодателями законодательства о труде, см. ст. ст. 357, 366 - 369 ТК и комментарий к ним.

Следует отметить, что установленное комментируемой статьей правило о получении данными лицами только тех персональных данных, которые им необходимы для выполнения конкретных функций, трудно реализовать. Персональные данные работника собираются в его личном деле, не подлежат дроблению и в принципе доступны для ознакомления лицу, осуществляющему надзорные функции в полном объеме. Исполнить требования закона возможно при четкой работе с лицами, осуществляющими функции надзора и контроля за соблюдением законодательства о труде, теми работниками, занятыми у конкретного работодателя, трудовой функцией которых является работа с персональными данными.

При передаче персональных данных внутри организации в соответствующее структурное подразделение (работнику) должна передаваться часть персональных данных, необходимая конкретному структурному подразделению (работнику) для исполнения своих функций.

8. Информация о состоянии здоровья гражданина составляет врачебную тайну. В соответствии со ст. 13 Федерального закона от 21 ноября 2011 г. N 323-ФЗ "Об охране здоровья граждан в Российской Федерации" передача сведений, составляющих врачебную тайну, работодателю допускается с согласия гражданина или его законного представителя. Исключение составляют случаи, когда информация о состоянии здоровья работника передается работодателю при угрозе распространения инфекционных заболеваний, массовых отравлений и поражений или в целях расследования несчастных случаев на производстве. Информация о состоянии психического здоровья гражданина может передаваться работодателю лишь в случаях, установленных федеральными законами (ст. 8 Закона РФ от 2 июля 1992 г. N 3185-1 "О психиатрической помощи и гарантиях прав граждан при ее оказании").

Комментируемая статья ограничивает право работодателя на получение информации о состоянии здоровья работника теми данными, на основании которых решается вопрос о возможности выполнения работником конкретной трудовой функции. Хотя комментируемая статья позволяет работодателю получать информацию о состоянии здоровья работника (т.е. лица, уже вступившего в трудовые отношения с работодателем), необходимо отметить, что информация о состоянии здоровья гражданина необходима работодателю уже на стадии принятия решения о заключении трудового договора. Такая информация получается работодателем в результате медицинского освидетельствования при заключении трудового договора. Об этом подробнее см. ст. 69 ТК и комментарий к ней.

При реализации своего права на привлечение работников к сверхурочной работе, работе в выходные и нерабочие праздничные дни работодатель должен обладать информацией о допустимости привлечения к ним по медицинским показаниям инвалидов, женщин, имеющих детей в возрасте до трех лет (ст. ст. 99, 113 ТК). В целях определения пригодности работника к выполнению поручаемой работы и предупреждения профессиональных заболеваний работодатель обязан обладать информацией о состоянии здоровья работников, занятых на работах с вредными и (или) опасными условиями труда, на работах, связанных с движением транспорта. В целях охраны здоровья населения работодатель должен иметь информацию о состоянии здоровья работников, занятых в организациях пищевой промышленности, общественного питания и торговли, на водопроводных сооружениях, в лечебно-профилактических и детских учреждениях. Подробнее об этом см. ст. ст. 65, 69, 213 ТК и комментарий к ним.

9. Представители работников применительно к получению персональных данных работника являются третьими лицами. Поэтому передача им данной информации осуществляется в соответствии с ограничениями и правилами, установленными комментируемой статьей. Представители работников обязаны соблюдать режим секретности в отношении полученных ими персональных данных работника.

Круг информации о работнике, передаваемой представителям работников, определяется их функциями. Универсальной функцией любого представителя работников в сфере трудовых отношений является участие в коллективных переговорах по заключению коллективного договора, соглашения. Поэтому представителям работников должна быть передана информация, необходимая для ведения коллективных переговоров.

Профсоюз как представитель работников может исполнять и особые социальные функции, определяемые его уставом. Для исполнения этих функций профсоюз должен обладать, в частности, информацией о круге иждивенцев работника, о необходимости специализированного лечения работника и т.п. Поскольку представление такой информации в отличие от информации, необходимой для ведения коллективных переговоров, не обусловлено конкретным федеральным законом, она представляется с письменного согласия работника.

Статья 89. Права работников в целях обеспечения защиты персональных данных, хранящихся у работодателя

Комментарий к статье 89

1. Конвенция Совета Европы "О защите личности в связи с автоматической обработкой персональных данных" 1981 г. предусматривает предоставление любому лицу следующих прав в области защиты персональных данных: а) быть осведомленным о существовании базы персональных данных и ее главных целях; б) периодически и без излишних затрат времени или средств обращаться с запросом о том, как накапливаются в базе данных касающиеся его персональные данные, и получать информацию о таких данных в доступной форме; в) требовать уточнения или уничтожения таких данных, если они были обработаны с нарушением положений национального права; г) прибегать к судебной защите нарушенного права, если его запрос или требование о представлении информации, об уточнении или уничтожении данных не было удовлетворено.

Общие права субъекта персональных данных сформулированы в гл. 3 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных". Комментируемая статья конкретизирует эти права применительно к информации, обрабатываемой работодателем в связи с трудовыми отношениями.

Права граждан в сфере обработки персональных данных конкретизируются рядом федеральных законов. В частности, Федеральный закон от 27 июля 2004 г. N 79-ФЗ "О государственной гражданской службе Российской Федерации" предоставляет гражданскому служащему право на ознакомление со всеми материалами своего личного дела, отзывами о своей деятельности и другими документами до внесения их в личное дело, приобщение к личному делу своих объяснений, защиту сведений о гражданском служащем.

2. Право работника на полную информацию о персональных данных и об их обработке обеспечивается обязанностью работодателя ознакомить работника с документами о порядке обработки персональных данных работников, принятыми работодателем, а также с правами и обязанностями работника в области защиты персональных данных.

В соответствии с п. 12 Правил ведения и хранения трудовых книжек, изготовления бланков трудовой книжки и обеспечения ими работодателей, утв. Постановлением Правительства РФ от 16 апреля 2003 г. N 225, работодатель обязан ознакомить работника с каждой вносимой в трудовую книжку записью о выполняемой работе, переводе на другую постоянную работу и об увольнении под роспись в его личной карточке.

Федеральный закон от 1 апреля 1996 г. N 27-ФЗ "Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования" в ст. 15 предоставляет работнику право беспрепятственно получать от работодателя информацию о начислении страховых взносов и осуществлять контроль за их перечислением в бюджет Пенсионного фонда РФ.

3. Реализуя право на информацию о своих персональных данных, работники могут требовать от работодателя предоставления им свободного и бесплатного доступа к этим данным. Доступ к своим персональным данным предоставляется работнику или его представителю работодателем при обращении либо при получении запроса. Запрос должен содержать номер основного документа, удостоверяющего личность работника или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе и собственноручную подпись работника или его представителя (п. 3 ст. 14 Федерального закона "О персональных данных").

Конкретный порядок доступа работника к своим персональным данным следует определять в локальных нормативных актах. Необходимо помнить, что данный порядок должен гарантировать свободу доступа работника к своим персональным данным. Наиболее целесообразным является установление обязанности работодателя обеспечить работнику доступ к данным о себе не позднее чем на следующий рабочий день после обращения работника к работодателю в целях ознакомления с соответствующими персональными данными.

В силу ст. 62 ТК работодатель обязан выдать работнику копии документов, связанных с работой, не позднее трех рабочих дней со дня подачи письменного заявления о выдаче этих документов. Данные копии предоставляются безвозмездно. Отказ в выдаче работнику копий документов, содержащих его персональные данные, допускается только в случаях, предусмотренных федеральным законом. На данный момент такие федеральные законы отсутствуют.

4. Работник свободен в определении своих представителей для защиты персональных данных. Как правило, функции представительства работников перед работодателем, в том числе и по вопросам защиты персональных данных работника, осуществляют профсоюзы. Для указанных целей работник может определить другого представителя (физическое либо юридическое лицо), равно как и защищать свои права самостоятельно.

5. Комментируемая статья предоставляет работнику право на доступ к тем медицинским данным о нем, которые обрабатываются работодателем. В исследовании соответствующих материалов помимо работника может участвовать медицинский специалист, выбранный для этих целей работником. Порядок допуска такого лица к персональным данным работника медицинского характера следует определять в локальных нормативных актах. Необходимо помнить, что в доступе к ним лицу, приглашенному работником для оказания ему помощи в ознакомлении с документами медицинского характера, отказано быть не может.

6. Работник, выявивший неточность или неполноту персональных данных, обрабатываемых работодателем, вправе потребовать от работодателя внесения в них соответствующих исправлений, дополнения обрабатываемых данных либо исключения их из обработки. Трудовой кодекс не устанавливает формы предъявления такого требования, однако, учитывая возможность дальнейшего обжалования неправомерных действий или бездействия работодателя, выдвижение требования следует осуществлять в письменной форме.

Оценки качества обрабатываемых персональных данных со стороны работника и работодателя могут не совпадать. Это может быть обусловлено как неправомерными действиями работодателя (например, сокрытие информации о несчастном случае на производстве), работника (предъявление работодателю неполной информации о себе), так и действиями третьих лиц, представивших работодателю недостоверную или неточную информацию о конкретном работнике. Работодатель, полагающий, что совершаемая им обработка персональных данных законна, имеет возможность отказать в удовлетворении требования работника. Данный отказ следует доводить до сведения работника в письменной форме. При несогласии работника с отказом в удовлетворении его требований он вправе продолжить переговоры с работодателем, изложив свою точку зрения в письменной форме, либо обжаловать действия или бездействие работодателя в судебном порядке.

В случае выявления недостоверных персональных данных или неправомерных действий с ними со стороны работодателя при обращении или по запросу работника или его представителя либо уполномоченного органа по защите прав субъектов персональных данных работодатель обязан осуществить блокирование персональных данных с момента такого обращения или получения такого запроса на период проверки. Если факт недостоверности персональных данных подтвердится, то работодатель обязан уточнить персональные данные в течение семи рабочих дней со дня представления достоверных сведений и снять их блокирование. В случае выявления неправомерных действий с персональными данными оператор в срок, не превышающий трех рабочих дней с даты такого выявления, обязан устранить допущенные нарушения (ст. 21 Федерального закона "О персональных данных").

О внесении в обрабатываемые работодателем персональные данные работника исправлений либо об исключении части персональных данных из обработки работодатель извещает работника. Форма такого извещения законодательством не устанавливается и определяется работодателем либо самостоятельно, либо по согласованию с работником. Она также может быть определена локальным нормативным актом. По письменному заявлению работника такие данные должны быть выданы работнику в порядке, установленном ст. 62 ТК.

7. Недостоверные или неполные персональные данные работника могут быть переданы работодателем третьим лицам. Действия, совершаемые третьими лицами на основе неверной информации, могут повлечь для работника определенные негативные последствия.

Извещение третьих лиц обо всех исправлениях, которые были внесены в ранее представленные и признанные работодателем недостоверными или неполными персональные данные работника, должно производиться работодателем вне зависимости от наличия или отсутствия требования работника о направлении соответствующего извещения. Передача третьим лицам исправленных персональных данных работника по инициативе самого работодателя определяется принципом добросовестности исполнения обязанностей работодателя как представителя работника перед третьими лицами (налоговыми органами, органами социального обеспечения и т.п.), предполагающей представление достоверной информации. Если работодатель не извещает третьих лиц об исправлениях, внесенных в персональные данные работника, последний имеет право потребовать от работодателя направления соответствующего извещения, а в случае отказа от его направления - защищать свои права в судебном порядке.

Извещение третьих лиц обо всех исправлениях, которые были внесены в ранее представленные и признанные работодателем недостоверными или неполными персональные данные работника, должно производиться работодателем в той же форме, в какой представлялись первоначальные данные, за исключением тех ситуаций, когда форма представления информации изменена федеральным законом или иным нормативным правовым актом.

8. Работник может отозвать свое согласие на обработку персональных данных. В таком случае, если обработка соответствующих персональных данных не предусмотрена законом, работодатель обязан прекратить обработку персональных данных и уничтожить персональные данные в срок, не превышающий 30 дней с даты поступления отзыва, если иное не предусмотрено соглашением между работодателем и работником (п. 5 ст. 21 Федерального закона "О персональных данных").

9. Любые неправомерные действия или бездействие работодателя при обработке и защите персональных данных могут быть обжалованы работником в суд в соответствии со ст. 46 Конституции РФ, гарантирующей каждому судебную защиту его прав и свобод. Обжалование указанных действий или бездействия работодателя осуществляется в порядке, установленном гл. 60 ТК.

Статья 90. Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных работника

Комментарий к статье 90

1. К материальной ответственности за нарушение норм, регулирующих порядок получения, обработки и защиты персональных данных работника, могут быть привлечены как работодатель, так и работники, непосредственно обрабатывающие персональные данные работников.

В результате неправомерного виновного распространения персональных данных работника или виновного представления третьим лицам недостоверной информации о работнике последнему может быть причинен моральный вред, подлежащий возмещению со стороны работодателя. При внесении в трудовую книжку работника неправильной записи или не соответствующей законодательству формулировки причины увольнения работник может быть лишен возможности трудиться и понести материальный ущерб. В свою очередь работники, непосредственно обрабатывающие персональные данные, могут быть привлечены к материальной ответственности при проведении работодателем выплат в пользу работника в возмещение причиненного ему ущерба. О материальной ответственности работодателя перед работником см. гл. 38 ТК и комментарий к ней, о материальной ответственности работника перед работодателем - гл. 39 ТК и комментарий к ней.

2. О дисциплинарной ответственности см. гл. 30 ТК и комментарий к ней.

3. Лица, виновные в нарушении правил работы с персональными данными работника, могут быть привлечены к административной ответственности на основании ст. ст. 5.39, 13.11 - 13.14 КоАП.

4. К административной ответственности за нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах и за нарушение правил защиты информации могут быть привлечены как сами работодатели - юридические лица и их должностные лица, так и конкретные работники, исполняющие соответствующие трудовые функции. Административная ответственность за разглашение информации с ограниченным доступом предусмотрена в отношении должностных лиц как работодателя, так и третьих лиц, и тех работников, которые получили доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей, а за отказ в представлении гражданину информации - только в отношении должностных лиц.

5. Порядок защиты нематериальных благ, к числу которых относятся честь и доброе имя, деловая репутация, неприкосновенность частной жизни, личная и семейная тайна, определяется ГК и иными законами (прежде всего ГПК).

Если в результате нарушения норм, регулирующих обработку персональных данных работника, допущенного третьими лицами, а не работодателем, работнику причинен имущественный ущерб или моральный вред, то указанный вред подлежит возмещению в денежной форме на основании ст. ст. 151, 1064 - 1083, 1099 - 1101 ГК. Защита чести, достоинства и деловой репутации гражданина осуществляется судом в соответствии с правилами, установленными ст. 152 ГК.

6. Уголовная ответственность за нарушение правил работы с персональными данными работника может наступить в случаях, предусмотренных ст. ст. 137, 140 УК.

Дата добавления: 2015-09-06