Организуем работу с персональными данными сотрудников

Персональные данные – ключевые понятия

Персональные данные работника в организации — это то, с чем работодатель сталкивается постоянно.

Даже когда потенциальный сотрудник еще не работает в организации, а только направляет резюме — он уже предоставляет в распоряжение работодателя свои персональные данные. Постоянная работа с личными данными происходит при кадровом делопроизводстве — организация ежедневно коммуницирует с внешним миром, служба кадров обрабатывает огромный массив документов и во всех содержатся чьи-либо личные сведения.

Персональные данные — это любая информация, относящаяся к конкретному лицу непосредственно. Это те сведения, при помощи которых можно идентифицировать человека.

Получение, хранение, уточнение, корректировка и иные действия с данными — это их обработка. Обработкой персональных данных занимаются чаще всего кадровые службы.

Оператором обработки является любая организация, которая собирает и хранит данные. То есть абсолютно любая организация.

Что нового появилось в трудовом законодательстве на этой неделе расскажет Валентина Митрофанова. Смотрите новый выпуск «Кадрового обзора».

Нормативы и законы о персональных данных

О персональных данных в РФ информируют:

• Конституция России.
• Трудовой кодекс.
• Федеральный закон «О персональных данных» №152-ФЗ.
• Кодекс об административных правонарушениях.
• Уголовный кодекс.

Конституция гарантирует, что каждый гражданин имеет право на личную, семейную или профессиональную тайну, имеет право контролировать распространение информации об этом, пресекать это распространение. Если же данные распространяются недобросовестно, то гражданин вправе рассчитывать на защиту чести и достоинства.

Трудовой кодекс говорит о том, что сбор персональных данных работника кадровиком или руководителем может проводиться исключительно с ясными и адекватными целями. ТК РФ однозначно запрещает хранение избыточного количества данных «на всякий случай».

В федеральном законе №153-ФЗ отмечена необходимость соблюдения полной безопасности данных, обозначены права, обязанности и ответственность граждан и операторов обработки.

КоАП РФ и УК устанавливают ответственность за нарушение указанных норм.

Об общих требованиях к обработке персональных данных и основных нормативных актах читайте в этом материале.

Распространение персональных данных: что должен знать кадровик

Изменения, внесенные в Федеральный закон № 152-ФЗ «О персональных данных», вызвали у кадровиков шквал вопросов. И это не удивительно: толкуют закон по-разному, информация на профессиональных интернет-сайтах противоречивая, а официальных разъяснений пока нет.

Что можно считать распространением персональных данных в кадровой работе? Когда следует получать у работников согласие о распространении их данных? Какова форма этого согласия?

Ответы на эти и многие другие вопросы вы найдете в нашей статье.

КОГДА ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ ЯВЛЯЕТСЯ РАСПРОСТРАНЕНИЕМ

Изменения в Федеральном законе от 27.07.2006 № 152-ФЗ «О персональных данных» (в ред. от 30.12.2020; далее — Федеральный закон № 152-ФЗ) были направлены на защиту тех персональных данных (далее — ПД), которые раньше назывались общедоступными. Именно об этом написано в пояснительной записке к Федеральному закону № 519-ФЗ[1]. Законодатель отметил, что общедоступные ПД также нуждаются в охране, поскольку третьи лица бесконтрольно используют данные с сайтов.

Чтобы понять, что закон подразумевает под термином «распространение» ПД, надо обратиться к ст. 3 Федерального закона № 152-ФЗ, где даны определения основным понятиям:

• обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;

• распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц;

• предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

Можно сделать следующие выводы:

1. Передача ПД может осуществляться путем их распространения, предоставления или открытием доступа к ним.

2. Распространение ПД — это один из видов передачи данных, при котором ПД раскрываются неопределенному кругу лиц.

3. Термины «распространение», «предоставление» не являются синонимами, поскольку имеют разное определение в законе.

Эти выводы очень важны, поскольку позволяют четко разделить, когда происходит распространение (данные видит неограниченный круг лиц), а когда предоставление (данные получают строго определенные лица).

Например, является ли предоставление ПД работника в банк для оформления зарплатной карты или передача данных работника для покупки билета на самолет распространением его ПД? Нет, не является, потому что эти данные предоставляются строго ограниченному кругу лиц. Их не сможет увидеть больше никто, кроме работников банка или специалистов по оформлению билетов.

Если все так очевидно, то почему мнения юристов и консультантов так противоречивы?

Полагаем, что законодатели сами несколько запутали ситуацию, применяя в п. 12 ст. 10.1 Федерального закона № 152-ФЗ все термины, характеризующие передачу ПД:

Извлечение из Федерального закона № 152-ФЗ

[…]

12. Передача (распространение, предоставление, доступ)[2] персональных данных, разрешенных субъектом персональных данных для распространения, должна быть прекращена в любое время по требованию субъекта персональных данных.

[…]

Из этого некоторые специалисты делают некорректные выводы:

• все виды передачи ПД (в т. ч. их представление в ПФР, соцстрах, налоговую инспекцию) с 01.03.2021 обязательно должны сопровождаться получением от работника согласия на распространение его ПД;

• все данные о работнике, которые использует работодатель, должны быть включены в согласие, а работник сам отметит, к каким ПД он разрешает доступ, какие можно предоставлять, а какие — распространять.

ОБ ИЗМЕНЕНИИ ТЕКСТА СОГЛАСИЯ НА ОБРАБОТКУ ПД

В связи со всеми нововведениями возникает вопрос: надо ли что-либо изменять в тексте «старых» согласий на обработку ПД работников? Думаем, что текст согласия пересмотреть все же следует, обратив внимание на следующие моменты:

Согласие на обработку ПД работников необходимо получать, только если работодатель собирает, обрабатывает и хранит данные, которые не связаны с исполнением трудового договора (фотография, адрес личной электронной почты и т. п.) То есть такие ПД, которые Трудовой кодекс РФ требовать у работника не обязывает.

Соответственно, если работодатель обрабатывает только обязательную информацию, установленную в ст. 65 ТК РФ и в разделах личной карточки формы № Т-2, согласие на обработку ПД работников может отсутствовать. Именно такие разъяснения ранее давал Роскомнадзор[3].

РАСПРОСТРАНЯЕТ ЛИ РАБОТОДАТЕЛЬ ПД СВОИХ РАБОТНИКОВ?

Перефразируем вопрос: раскрывает ли работодатель ПД работников неопределенному кругу лиц? Многие скажут: «Нет, не раскрывает». Но спешить с ответом не стоит.

Что такое раскрытие «неопределенному кругу лиц»? Это значит, что любой человек может свободно увидеть какие-либо ПД, они специально не скрыты. А к ПД закон относит практически любую информацию о работнике: Ф. И. О., должность, телефон, адрес, размер зарплаты, дату рождения, адрес личной электронной почты, личный телефонный номер, фото- и видеоизображение и пр.).

Извлечение из Федерального закона № 152-ФЗ

[…]

1) персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)[4];

[…]

В настоящее время практически каждая компания каким-либо образом представлена в Интернете:

• у нее есть свой сайт или страничка в социальной сети;

• она включена в каталоги предприятий или организаций города;

• зарегистрирована на торговых площадках или сайтах-агрегаторах. И на каждом ресурсе есть какие-либо сведения о работниках: контакты с указанием должностей, видеоролики и фото с участием работников.

В офисах на досках объявлений размещают поздравления с днем рождения, фотографии лучших работников или фотоотчеты о мероприятиях, графики дежурств или какие-либо списки. И конечно, почти в каждом офисе на кабинетах есть таблички с указанием должностей и фамилий начальников или специалистов.

Откройте страницу 3 нашего журнала. Справа указаны фамилия и инициалы шеф-редактора, его заместителя, научного редактора, должности и фамилии авторов статей. Любой человек может видеть эти ПД.

Если ПД работников может увидеть любой человек, который откроет журнал, зайдет в помещение организации или на ее сайт в Интернете, то распространение ПД имеет место.

В соответствии с изменениями в законодательстве у каждого работника, чьи ПД находятся на всеобщем обозрении, следует взять согласие на распространение его персональных данных. Однако из этого правила есть исключение: получать согласие не требуется, если обязанность размещать ПД работников в сети Интернет предусмотрена законодательством РФ[5].

[1] Федеральный закон от 30.12.2020 № 519-ФЗ «О внесении изменений в Федеральный закон «О персональных данных»».

[2] В извлечении выделено автором.

[3] Разъяснения Роскомнадзора от 14.12.2012 «Вопросы, касающиеся обработки персональных данных работников, соискателей на замещение вакантных должностей, а также лиц, находящихся в кадровом резерве» (https://clck.ru/UCN2Q; далее — Разъяснения от 14.12.2012).

[4] Пункт 1 ч. 1 ст. 3 Федерального закона № 152-ФЗ.

[5] Разъяснения от 14.12.2012, п. 15 ст. 10.1 Федерального закона № 152-ФЗ.

Какие данные относятся к персональным данным

Нормативные акты по работе с персональными данными устанавливают два важных понятия, которые необходимо иметь в виду руководителю и ответственному сотруднику кадровой службы, чтобы не навлечь на себя и на организацию огромные штрафы и судебные иски.

1. Избыточность.
2. Целеполагание.

То есть работодатель имеет право собирать исключительно те данные, которые необходимы для осуществления трудового процесса, и только с целью поддержания этого процесса.

Какие данные являются персональными:

• фамилия, имя, отчество;
• дата, место рождения;
• биометрия – отпечатки пальцев, ДНК, радужная оболочка глаз, рост, вес, фотографии и видео с изображением человека, если его можно там идентифицировать;
• адрес прописки или фактического жительства;
• семейное положение, состав семьи;
• биографические данные;
• профессиональная информация – образование, квалификация, должность, трудовой стаж, предыдущие места работы;
• сведения о доходах и имуществе;
• номера ИНН и СНИЛС; контакты – телефон, электронная почта;
• информация о воинской обязанности;
• медицинская информация и диагнозы.

О требованиях №152-ФЗ в области обработки и защиты персональных данных читайте здесь.

Сервис подачи сведений о сотрудниках на удаленной работе запустили на портале мэра Москвы

На mos.ru запустили новый сервис для подачи сведений о сотрудниках на удаленной работе, рассказали в столичном департаменте информационных технологий.

В России выявлено максимальное количество заболевших COVID-19 за сутки

Эпидемиолог рассказал, как уберечься от коронавируса в общественном транспорте

Названы работники, чаще всего болеющие коронавирусом

«На mos.ru заработал новый сервис в каталоге услуг для бизнеса. С его помощью работодателям необходимо будет передавать городу сведения о численности сотрудников, переведенных на дистанционный режим работы. Каждый понедельник с 12 по 28 октября работодатели должны будут сообщать информацию о количестве сотрудников, работающих из дома, и тех, кто продолжает приходить в офис. Требование об этом закреплено в указе мэра Москвы №97-УМ от 6 октября и касается как индивидуальных предпринимателей, так и организаций», — сказано в сообщении.

Отмечается, что подобные меры вызваны обострившейся эпидемиологической ситуацией в городе. Перевод на «удаленку» части сотрудников позволит лучше контролировать исполнение введенных в столице ограничений.

Согласно указу мэра Москвы Сергея Собянина, руководители столичных предприятий должны с 5 по 28 октября перевести не менее 30% сотрудников на удаленную работу. Исключение составляют те работники, чье присутствие является критически важным для функционирования организации, а также медработники, предприятия оборонной отрасли, «Росатома», «Роскосмоса» и некоторых других стратегических отраслей. Для подачи данных необходимо скачать и заполнить специальную форму, указать наименование организации, ее ИНН, юридический адрес и другие сведения, а также обезличенную информацию о сотрудниках, которые работают дистанционно.

«Заполненную форму можно загрузить уже с сегодняшнего дня. Для этого на портале mos.ru запущен специальный сервис. С его помощью работодатели могут не только предоставить необходимую информацию, но и проверить, корректно ли загрузились сведения», — добавили в пресс-службе.

Чтобы воспользоваться сервисом, нужно авторизоваться на mos.ru, используя учетную запись организации, зайти в каталог услуг для бизнеса, выбрать вкладку «Организация бизнеса», затем — «Помощь бизнесу». Также сервис доступен в разделе «Популярное».

В случае непредоставления указанных сведений и нарушения требования о минимальной доле персонала, работающего удаленно, работодателей могут привлечь к административной ответственности, передает АГН «Москва».
Все самое интересное — в нашем канале «Яндекс.Дзен» Еще больше новостей — у нас в Telegram

Категории персональных данных

Обычно выделяют четыре вида персональных данных, хотя в законах такой классификации нет:

1. Категория биометрических персональных данных. Позволяют идентифицировать человека по физиологическим параметрам. Данные собираются исключительно с согласия гражданина и в обоснованных законом целях.
2. В специальную категорию персональных данных входят раса, национальность, политические и религиозные взгляды, философские воззрения и подробности интимной жизни. Обработка таких данных запрещена, кроме случаев, когда субъект согласился на это письменно.
3. Иные. Не вошедшие в эти категории.

Важно!

До 1.03.2021 года в законе существовало понятие «общедоступные персональные данные». Это понятие упразднено. Теперь это звучит так — «персональные данные, разрешенные субъектом для распространения». То есть — никто не вправе распространять личную информацию о субъекте без его согласия на это. Более того, даже если сам субъект распространит свои персональные данные или они будут опубликованы в другом источнике, транслировать их можно только с его прямого согласия.

Как собирать, систематизировать и хранить персональные данные

Шаг 1. Выпустить положение о персональных данных. Этого требуют и федеральный закон, и здравый смысл. В локальном акте нужно прописать все правила хранения и обработки данных.

Шаг 2. Утвердить положение. Для этого нужно выпустить соответствующий приказ с подписью руководителя и ознакомить с ним всех сотрудников. Сотрудники должны расписаться в специальном журнале или ведомости.

Шаг 3. Назначить специалиста, ответственного за персональные данные. Вероятнее всего, это будет сотрудник кадровой службы. Желательно, чтобы работа с персональными данными была указана в его трудовом договоре. Если же договор уже составлен, можно выпустить дополнительное соглашение к нему. В том же приказе нужно установить сотрудников, которые будут иметь доступ к персональным данным. Все упомянутые лица должны подписать обязательство о неразглашении данных.

Шаг 4. Собрать со всех сотрудников письменные согласия на обработку персональных данных. В письменном согласии должны быть перечислены конкретные данные и цели их использования. Цели должны сводиться исключительно к поддержанию трудового процесса.

Шаг 5. Хранить данные в строгом порядке. Данные могут храниться и в электронном виде, и в бумажном. Они должны быть абсолютно недоступными для третьих лиц, своевременно пополняться и при необходимости корректироваться.

Шаг 6. Обратиться в Роскомнадзор. Этот пункт не обязателен, если вы:

• обрабатываете информацию без использования специализированного ПО и баз данных (то есть если массив данных оператор обрабатывает вручную на ПК или на бумаге);
• обрабатываете данные только своих сотрудников и только в целях составления и ведения трудовых договоров (не более);
• оформили договор с физическим лицом как подрядчиком, поставщиком или нештатным специалистом;
• однократно пропустили постороннего человека, не являющегося вашим сотрудником, на территорию предприятия (например, для собеседования).

О требованиях к локальным актам, систематизирующим обработку персональных данных в организации, читайте нашу статью.

Какие сведения о сотрудниках и компании нужно сообщать

При использовании сервиса работодателю нужно указать следующие данные о компании:

• полное название компании или ИП;
• краткое название компании;
• ИНН;
• ОГРН/ОГРНИП;
• юридический адрес по данным из ЕГРЮЛ;
• основной вид деятельности — код ОКВЭД;
• дополнительные виды деятельности — перечисление кодов ОКВЭД;
• общую численность работников, включая суммарную численность лиц, не подлежащих переводу на удалёнку, и суммарную численность лиц, подлежащих переводу на дистанционную работу.

Что касается сотрудников, о них нужно передавать следующую информацию:

• номер мобильного телефона;
• государственный регистрационный номер автомобиля (при наличии);
• номер электронной карты «Тройка» (при наличии);
• номер электронной карты «Стрелка» (при наличии);
• номер социальной карты, выпущенной на основании решений органов исполнительной власти Москвы и Московской области (при наличии);
• номер месячного проездного билета без лимита поездок и с лимитом 70 поездок, временного единого социального билета, временного льготного билета (при наличии).

Форму для внесения данных нужно предварительно скачать, затем список данных по удалённым сотрудникам загружается в разделе «Удалённая работа».

Ответственность за разглашение персональных данных

Ответственность за неправильное или небезопасное хранение данных очень серьезная. Если организация что-то сделает не так, она навлечет на себя ревизии, проверки, административное производство или уголовный процесс.

Административная ответственность

До 75 тысяч рублей штрафа работодатель может заплатить за:

• сбор и обработка избыточной информации;
• отсутствие согласия работника на обработку данных;
• доступ третьих лиц к персональным данным сотрудников;
• игнорирование просьб работника об удалении его персональных данных (например, после его увольнения).

Уголовная ответственность

По статье 137 УК РФ:

• Разглашение данных работника в публичном пространстве, публикация в СМИ сведений, составляющих его личную или семейную тайну. Штраф до 200 тысяч рублей, лишение свободы до 2 лет и запрет занимать определенные должности — до 3 лет.
• То же самое, с использованием служебного положения — штраф до 300 тысяч рублей, лишение свободы до 5 лет и запрет занимать соответствующую должность — до 6 лет.

Читайте об ответственности за разглашение ПДн в этом материале.

Чем грозит отсутствие отчета или искажение сведений в нем

Непредставление столичными работодателями отчета о сотрудниках, как и указание в нем недостоверных сведений, грозит привлечением к ответственности по ч. 1 ст. 20.6.1 КоАП РФ — как за невыполнение правил поведения при чрезвычайной ситуации или угрозе ее возникновения (п. 2.2 Указа Мэра Москвы от 06.10.2020 № 97-УМ).

Штраф по этой статье нешуточный:

• для ИП — от 30 000 до 50 000 руб.,
• для компаний — от 100 000 до 300 000 руб.