Бесплатная горячая линия

8 800 700-88-16
Главная - Трудовое право - Порядок работы с персональными данными в организации

Порядок работы с персональными данными в организации

Порядок работы с персональными данными в организации

Положение о персональных данных: структура


Чтобы не допустить разглашения персональных данных, создайте надежную систему их защиты. Порядок получения, обработки, передачи и хранения таких сведений установите в локальном акте организации, например в положении о работе с персональными данными сотрудников. Положение утверждает директор.

Ознакомьте сотрудников с документом под подпись (ст. 8, п. 8 ч. 1 ст. 86, 87 ТК, п. 2 ч. 1 ст. 18.1 Закона от 27.07.2006 № 152-ФЗ).

С целью обеспечения выполнения требований к порядку обработки персональных данных работников и защите этих сведений работодатель может разработать и утвердить Положение о работе с персональными данными работников.

Оно также может именоваться, например, Положением об обработке персональных данных работников, Положением о защите персональных данных или даже Положением о персональных данных работников. Положение о персональных данных относится к тем локальным актам, которые обязательно должны быть в организации. Работодатель должен локальным нормативным актом (Положением о персональных данных) определить порядок хранения, обработки и использования персональных данных.

Отсутствие Положения может быть квалифицировано государственной инспекцией труда как нарушение трудового законодательства.

Такой вывод также подтверждается судебной практикой (см. Постановление ФАС Московского округа от 26.10.2006 N КА-А40/10220-06 по делу № А40-20745/06-148-194). Структуру и содержание Положения о защите персональных данных работников (образец приведем ниже) работодатель определяет для себя самостоятельно.

Структуру и содержание Положения о защите персональных данных работников (образец приведем ниже) работодатель определяет для себя самостоятельно. При разработке Положения о персональных данных работодатель должен учитывать, в частности, следующие принципы:

  1. все персональные данные работников нужно получать у него самого. Если какие-либо персональные данные работника можно получить только у третьей стороны, работник заранее должен быть уведомлен об этом, а от него должно быть получено письменное согласие;
  2. работодатель должен за свой счет обеспечивать защиту персональных данных работников от неправомерного их использования или утраты;
  3. работодатель должен под роспись ознакомить работников с порядком обработки их персональных данных, а также с их правами и обязанностями в этой области.
  4. обработка персональных данных работников производится только в целях соблюдения законодательства РФ, содействия работникам в трудоустройстве, получении образования и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества;

Персональные данные — понятие и состав

Согласно пункту 1 статьи 3 ФЗ № 152, под персональными данными следует понимать любые сведения, которые относятся к конкретному человеку или позволяют идентифицировать его среди других людей.

Важно помнить, что речь идет только о физических лицах — именно их статья 3 ФЗ № 152 именует субъектами персональных данных.

Сведения об организациях, органах власти, обезличенная статистическая или аналитическая информация к категории персональных данных не относятся.

Исчерпывающего перечня сведений, которые можно отнести к личным данным гражданина, действующее законодательство не содержит, однако анализ статьи 8 ФЗ № 152 позволяет причислить к таковым:

  1. номер телефона;
  2. сведения о семейном, имущественном положении, доходах и т. п.
  3. адрес пребывания;
  4. данные об образовании и профессии;
  5. дату и место рождения;
  6. имя, фамилию и отчество;

Любые ограничения и меры по защите личной информации о человеке, согласно статье 2 ФЗ № 152, принимаются исключительно в целях соблюдения его прав и свобод на личную и семейную тайну, неприкосновенность частной жизни и т. д. При этом нормативному регулированию, согласно статье 1 ФЗ № 152, подлежат отношения, которые возникают в организациях в связи со сбором и обработкой личных данных человека как в письменной, так и в электронной форме. Организация (юридическое лицо, орган государственной и муниципальной власти), которой в силу своей деятельности необходимо осуществлять обработку персональных сведений о гражданах, признается в силу статьи 3 ФЗ № 152 оператором персональных данных.

Обработка включает в себя любые операции, проводимые вручную или при помощи компьютерной техники, направленные на сбор, уточнение, хранение и последующие обезличивание и уничтожение собранной информации.

Согласие на обработку персональных данных

Я, Иванов Петр Васильевич, паспорт серии 32 12, номер 634789, выдан 06.07.2013 УФМС России по Курской обл.

в Курском районе, проживающий по адресу: г. Курск, просп. Дружбы, д. 33, в соответствии со ст. 9 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» даю согласие ООО «Ватрушка», расположенному по адресу: г.

Курск, ул. Черняховского, д. 12, на обработку в документальной и (или) электронной форме моих персональных данных для оформления информационного стенда. Перечень моих персональных данных, на обработку которых я даю согласие: — фамилия, имя, отчество; — фотография; — пол; — образование, квалификация, повышение квалификации; — трудовая деятельность в ООО «Ватрушка». Настоящее согласие действует в течение всего срока трудового договора.В согласии на обработку персональных данных должен быть указан срок, в течение которого оно действует.

Срок действия согласия можно обозначить цифрой, например 5 лет.

Допустимо также указать, что согласие действует: •до расторжения трудового договора; •до момента, когда будет достигнута цель обработки; •до момента, пока сотрудник не отзовет согласие Настоящее согласие может быть отозвано мной в письменной форме.Согласие также должно содержать условие о том, каким способом работник вправе его отозвать 05.09.2018 П.В.

Иванов Согласие на обработку ПД работник должен подписать лично

Оператор по обработке персональных данных

Согласно Закону N 152-ФЗ лицо (юридическое или физическое), которое организует и (или) осуществляет обработку персональных данных, определяет их состав, цели обработки, действия, совершаемые с персональными данными, называют оператором (п. 2 ст. 3 Закона N 152-ФЗ). В нашем случае это работодатель.

Обработка персональных данных — любое совершаемое с ними действие. Операции по обработке персональных данных:

  1. извлечение;
  2. сбор;
  3. хранение;
  4. уточнение (обновление, изменение);
  5. систематизация;
  6. запись;
  7. передача (распространение, предоставление, доступ);
  8. удаление;
  9. уничтожение персональных данных.
  10. использование;
  11. блокирование;
  12. обезличивание;
  13. накопление;

Работа с персональными данными: новые правила

В целях дополнительной защиты сведений о гражданах в Федеральный закон «О персональных данных» от 27 июля 2006 г. № 152-ФЗ были внесены существенные поправки, вступившие в силу с 1 июля 2011 года (см.

Федеральный закон от 25 июля 2011 г. № 261-ФЗ). Изменилось само понятие персональных данных, под которыми теперь понимается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (п. 1 ст. 3 закона № 152-ФЗ). Строительная компания, обрабатывающая такие данные, по своему статусу соответствует понятию оператора.

Под обработкой персональных данных понимается любое действие (операция) с персональными данными, совершаемое с применением средств автоматизации или без их применения. К таким действиям относятся: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), использование данных и т.

д. Введено понятие автоматизированной обработки персональных данных, а также соответствующее нормативное регулирование.

Уточнены принципы обработки сведений (ст. 5 закона № 152-ФЗ). Закреплено, что обработка должна ограничиваться достижением конкретных, заранее определенных целей.

При этом обрабатываемые данные не должны быть избыточными. Если срок хранения персональных сведений не установлен (законом, договором), хранить их нужно не дольше, чем этого требуют цели обработки.

После чего данные подлежат уничтожению либо обезличиванию. Новшеством является также то, что регламентирован порядок поручения обработки персональных данных третьему лицу. Компания вправе это сделать с согласия работника на основании заключаемого с третьим лицом договора (поручения оператора). Лицо, осуществляющее обработку персональных данных по поручению оператора (компании-работодателя), обязано соблюдать принципы и правила такой операции, предусмотренные законом № 152-ФЗ.
Лицо, осуществляющее обработку персональных данных по поручению оператора (компании-работодателя), обязано соблюдать принципы и правила такой операции, предусмотренные законом № 152-ФЗ.

В поручении должны быть определены перечень действий с данными и цели их обработки, а кроме того, установлена обязанность третьего лица соблюдать конфиденциальность этих сведений и обеспечивать безопасность при их обработке. Ответственность перед субъектом персональных данных за действия указанного лица будет нести сама компания. А лицо, осуществляющее обработку информации по ее поручению, несет ответственность перед компанией.

В закон № 152-ФЗ введена новая статья 18.1.

В ней предусмотрены меры, направленные на обеспечение обновленных требований. Работодателю следует определить перечень мер, необходимых для выполнения обязанностей по обработке персональных данных. Он должен включать: – назначение лица, ответственного за организацию обработки персональных данных; – издание компанией документов, определяющих политику в отношении обработки персональных данных, локальных актов по вопросам обработки таких сведений и предотвращения (устранения) нарушений; – применение правовых, организационных и технических мер по обеспечению безопасности персональных данных; – осуществление внутреннего контроля соответствия обработки персональных данных указанному закону и принятым на основании его нормативным правовым актам; – оценку вреда, который может быть причинен субъектам персональных данных в случае нарушения закона; – ознакомление работников компании, непосредственно осуществляющих обработку персональных данных, с требованиями законодательства о защите персональных данных, локальными актами по указанным вопросам и обучение этих работников.

Обратите внимание: строительной организации теперь помимо Положения по защите персональных данных работников, которое следовало принять в соответствии с Трудовым кодексом РФ, необходимо разработать новый документ – Политику в отношении обработки персональных данных.

Обеспечение безопасности персональных данных достигается, в частности: – определением угроз безопасности данных при их обработке в информационных системах; – применением организационных и технических мер; – учетом машинных носителей персональных данных; – обнаружением фактов несанкционированного доступа к персональным данным и принятием мер; – восстановлением данных, модифицированных или уничтоженных вследствие несанкционированного доступа; – установлением правил доступа к персональным данным, а также обеспечением регистрации и учета всех действий, совершаемых с ними в информационной системе; – контролем за уровнем защищенности информационных систем. Не следует забывать и о том, что в настоящее время действуют документы: – приказ ФСТЭК России от 5 февраля 2010 г. № 58

«Об утверждении Положения о методах и способах защиты информации в информационных системах персональных данных»

; – Методика определения актуальных угроз безопасности персональных данных … утвержденная ФСТЭК России 14 февраля 2008 г.; – Базовая модель угроз безопасности персональных данных… утвержденная ФСТЭК России 15 февраля 2008 г.

Учтите: по запросу уполномоченного органа по защите прав субъектов персональных данных строительная фирма обязана представить документы и локальные акты или иным образом подтвердить принятие соответствующих мер. >|Образец уведомления об обработке (о намерении осуществлять обработку) персональных данных и рекомендации по его заполнению утверждены приказом Роскомнадзора от 19 августа 2011 г. № 706.| По общему правилу уведомить Роскомнадзор об осуществлении обработки персональных данных обязаны все операторы, которые этим занимаются (п.

1 ст. 22, п. 4 ст. 25 закона № 152-ФЗ). Однако есть и исключения. Они приведены в пункте 2 статьи 22 закона № 152-ФЗ.

Например, если строительная компания имеет дело лишь с личными данными работников (обрабатываемыми в соответствии с трудовым законодательством), указанное требование на нее не распространяется. Необходимым условием является получение согласия работника на обработку его персональных данных.

Порядок его получения определен в статье 9 закона № 152-ФЗ (он стал более четким): – согласие должно быть конкретным, информированным и сознательным; – оно может быть дано физлицом или его представителем в любой позволяющей подтвердить факт его получения форме, в том числе в форме электронного документа, подписанного электронной цифровой подписью.

В нем нужно указать: – фамилию, имя, отчество, адрес, данные документа, удостоверяющего личность гражданина; – те же данные – о представителе при его наличии); – наименование или фамилию, имя, отчество и адрес оператора, получающего согласие человека на обработку его данных; – цель обработки данных; – перечень персональных данных, на обработку которых дается согласие; – наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу; – перечень действий, на совершение которых дается согласие, общее описание используемых способов обработки; – срок, в течение которого действует согласие, а также способ его отзыва; – подпись субъекта персональных данных (физлица).

Внесены дополнения и в части наказания за нарушение требований закона № 152-ФЗ. За совершение дисциплинарного проступка в процессе исполнения трудовых обязанностей (нарушение уполномоченным лицом условий о неразглашении персональной информации, о принятии мер по сохранности, недопущению распространения информации и т.

д.) работодатель имеет право применить следующие дисциплинарные взыскания: замечание, выговор, увольнение по соответствующим основаниям (ст.

192 Трудового кодекса РФ). Новшеством являются положения о компенсации морального вреда. Так, моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав из-за нарушения правил обработки персональных данных, а также требований к их защите, подлежит возмещению в соответствии с законодательством Российской Федерации.

Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.

Нарушение порядка сбора, хранения, использования или распространения информации о гражданах, согласно статье 13.11 Кодекса РФ об административных правонарушениях, влечет предупреждение или наложение штрафа: на граждан в размере от 300 до 500 руб.; на должностных лиц – от 500 до 1000 руб.; на юридических лиц – от 5000 до 10 000 руб.

За разглашение информации, доступ к которой ограничен федеральным законом, статьей 13.14 Кодекса РФ об административных правонарушениях предусмотрен штраф: для граждан в размере от 500 до 1000 руб.; для должностных лиц – от 4000 до 5000 руб. За нарушение неприкосновенности частной жизни грозит уже уголовная ответственность (п.

1 ст. 137 Уголовного кодекса РФ).

Так, незаконный сбор или распространение сведений о человеке (его семье) без его согласия либо публичное распространение этих сведений наказывается: – штрафом до 200 000 руб.

или в размере заработной платы или иного дохода осужденного за период до 18 месяцев; – обязательными работами на срок от 120 до 180 часов; – исправительными работами на срок до одного года; – арестом на срок до четырех месяцев; – лишением свободы на срок до двух лет с лишением права занимать определенные должности или заниматься определенной деятельностью в течение срока до трех лет.

Неправомерный доступ к охраняемой законом компьютерной информации, если это повлекло уничтожение, блокирование, модификацию либо копирование информации, согласно пункту 1 статьи 272 Уголовного кодекса РФ, предусматривает схожие меры (штраф, обязательные или исправительные работы и т.

д.). Различие в том, что среди них нет ареста и запрета занимать определенные должности.Важно запомнить Руководитель строительной компании должен назначить ответственного за обработку персональных данных.

Для осуществления указанной обработки (как самой компанией, так и по ее поручению третьими лицами) необходимо получить согласие работника.Статья напечатана в журнале «Учет в строительстве» №12, декабрь 2011 г.

  1. , юрист

Источник: Журнал .

Рубрики: Подписывайтесь на «Утреннего бухгалтера». Все для бухгалтера. Пора завести блог на Клерк.ру Блог компании на «Клерке» — это ваш новый инструмент, чтобы рассказать о себе.

Публикуйте любой контент про вашу компанию.

Оператор по обработке персональных данных

Согласно Закону N 152-ФЗ лицо (юридическое или физическое), которое организует и (или) осуществляет обработку персональных данных, определяет их состав, цели обработки, действия, совершаемые с персональными данными, называют оператором (п.

2 ст. 3 Закона N 152-ФЗ). В нашем случае это работодатель.Обработка персональных данных – любое совершаемое с ними действие. Операции по обработке персональных данных:

  1. обезличивание;
  2. извлечение;
  3. сбор;
  4. накопление;
  5. использование;
  6. хранение;
  7. блокирование;
  8. уничтожение персональных данных.
  9. удаление;
  10. систематизация;
  11. запись;
  12. уточнение (обновление, изменение);
  13. передача (распространение, предоставление, доступ);

Персональные данные: как работать по закону?

Искать → Персональные данные в организации есть всегда. Порой работодатель даже не представляет, как много информации о сотрудниках обрабатывается с нарушением закона.

Как правильно организовать работу с персональными данными, как составить внутренние документы, что можно упустить, а что учесть обязательно? Читайте консультацию-памятку от эксперта трудового права Анны Никурадзе. Ошибки в работе с персональными данными чаще всего случаются по незнанию, а не из-за попытки обойти нормативные требования.

Вот самый распространенный пример: будущий работник подает пакет документов по списку, куда входит ИНН или справка о составе семьи. Принимая такие документы, работодатели не берут согласия на их обработку, поскольку думают, что в этом нет необходимости, чем невольно нарушают закон. Но если вы вооружены достаточными знаниями, административных рисков можно избежать.

Для начала разберемся, какие сведения о работниках считаются персональными данными: любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). Такое определение дано в п. 1 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных» (далее Закон N 152-ФЗ): То есть, к персональным данным относят:

  1. фамилию, имя, отчество, дату и место рождения;
  2. сведения об образовании (в том числе послевузовском профессиональном) — номера дипломов, названия образовательных организаций, квалификацию, присвоенную гражданину, ученую степень и пр.;
  3. профессию и места работы;
  4. семейное, социальное и имущественное положение работника;
  5. любые документы, которые содержат вышеперечисленные данные;
  6. документы, содержащие сведения о членах семьи и иных третьих лицах;

и так далее.

Кроме этого, персональные данные содержатся в документах, обязательно предъявляемых при трудоустройстве.

Их перечень указан в ст. 65 Трудового кодекса РФ и эта статья позволяет работодателю принимать и обрабатывать перечисленные в ней документы без предварительного согласия.

Некоторые работодатели (видимо, по старой привычке) до сих пор требуют фото для вклеивания в личную карточку Т2, однако не спрашивают официального согласия работника.

Есть мнение, что фотография не относится к персональным данным, но с этим можно поспорить. Ведь законодатель говорит, что персональными данными считаются любые сведения, позволяющие идентифицировать определенного человека, даже без использования его имени, фамилии и даты рождения. Таким образом, если специалист запрашивает фото работника, об этом обязательно надо упомянуть в письменном согласии на обработку персональных данных, с указанием целей обработки.

Возможно, прочитав предыдущие утверждения, вы сделали вывод, что персональные данные — это вся информация, которую человек предоставляет о себе, и обрабатывать ее можно только с его письменного разрешения. Однако мы помним, что законодатель все же идет навстречу оператору и оговаривает возможность не брать согласие на обработку сведений, перечисленных в ст.

65 ТК РФ. Но в этот список не входят справки о составе семьи, ИНН, справки о состояния здоровья. Так, в момент приема на работу некоторые компании запрашивают ИНН сотрудника, поскольку он понадобится для отчетности и закон периодически требует включать их в отчетные формы.

Для того чтобы оформить человека на должность, и в дальнейшем поддерживать с ним трудовые отношения, ИНН не требуется. Поэтому если организации все-таки нужны эти данные, обязательно следует получить письменное согласие работнику.

Что еще должен делать работодатель при обработке персональных данных? Согласно п. 7 ст. 86 Трудового кодекса РФ, работодатель обязан обеспечить за счет своих средств защиту персональных данных работника от неправомерного использования или утраты, а также выполнять установленный законом порядок их использования и хранения. Исходя из указанных требований, работодатель издает локальный нормативный акт, регулирующий вопросы хранения и использования персональных данных, а также обеспечивающий защиту последних от неправомерного использования или утраты.

Этот документ должен содержать:

  1. регламент защиты персональных данных (включая защиту от третьих лиц).
  2. порядок работы с персональными данными;
  3. ответственность за разглашение сведений;
  4. перечень лиц, которым предоставлен такой доступ;
  5. описание внешнего и внутреннего доступа к персональным данным;

С соответствующими положениями и своими правами работники должны ознакомиться под роспись. Обычно в организации таким локальным нормативным актом признается отдельное Положение о защите персональных данных.

Структура его может быть следующей: 1) «Общие положения» – в данном разделе прописываются общие моменты, цели создания документа и сфера его распространения; 2) «Основные понятия» – указываются используемые определения; 3) «Перечень персональных данных и цели обработки» – здесь перечисляется, какие сведения могут быть использованы оператором 4) «Обработка персональных данных» – в этом разделе следует указать, какие условия должны быть соблюдены при обработке персональных данных работника; 5) «Передача персональных данных» – тут необходимо отразить порядок передачи персональных данных работников внутри организации, а также сторонним лицам и государственным органам; 6) «Доступ к персональным данным» — в указанном разделе будет прописан порядок доступа к персональным данным – внешний (передача информации третьим лицам) и внутренний (обработка персональных данных внутри компании); 7) «Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных» — здесь будет расписана дисциплинарная и материальная ответственность лиц, работающих с персональными данными; 8) «Угрозы безопасности» – в этом разделе описывается модель и степень угрозы, а также что предпринимается для защиты персональных данных; 8) «Заключительные положения» – сюда включаются положения о вступлении в силу акта, длительность его действия, и порядок его изменения.

Структура его может быть следующей: 1) «Общие положения» – в данном разделе прописываются общие моменты, цели создания документа и сфера его распространения; 2) «Основные понятия» – указываются используемые определения; 3) «Перечень персональных данных и цели обработки» – здесь перечисляется, какие сведения могут быть использованы оператором 4) «Обработка персональных данных» – в этом разделе следует указать, какие условия должны быть соблюдены при обработке персональных данных работника; 5) «Передача персональных данных» – тут необходимо отразить порядок передачи персональных данных работников внутри организации, а также сторонним лицам и государственным органам; 6) «Доступ к персональным данным» — в указанном разделе будет прописан порядок доступа к персональным данным – внешний (передача информации третьим лицам) и внутренний (обработка персональных данных внутри компании); 7) «Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных» — здесь будет расписана дисциплинарная и материальная ответственность лиц, работающих с персональными данными; 8) «Угрозы безопасности» – в этом разделе описывается модель и степень угрозы, а также что предпринимается для защиты персональных данных; 8) «Заключительные положения» – сюда включаются положения о вступлении в силу акта, длительность его действия, и порядок его изменения.

Как защитить персональные данные сотрудников Работодатель обязан создать все условия для защиты персональных данных: систему, которая обеспечивает конфиденциальность, недоступность, а также целостность и безопасность информации в процессе деятельности компании. Закон предусматривает внутреннюю и внешнюю защиту.

  1. Для обеспечения внутренней защиты персональных данных компания может установить регламент состава работников, чьи функциональные обязанности требуют доступа к персональным данным других работников. При этом следует избирательно и обоснованно распределить документы и информацию, содержащую персональные данные, между лицами, уполномоченными на работу с такими данными, и оборудовать рабочие места таким образом, чтобы не было возможности беспрепятственно проникнуть и «подсмотреть» информацию, и так далее.
  2. Для обеспечения внешней защиты персональных данных работников компания может, например, ввести пропускной режим для посетителей и использовать программно-технический комплекс защиты информации на электронных носителях.

Комплекс защитных мер зависит от уровня угрозы безопасности. Чем уровень выше, тем больше действий необходимо предпринимать.

Выделяют три типа угроз, которые создают актуальную опасность несанкционированного доступа к персональным данным при их обработке в информационной системе.

Тип угрозы, характерный для информационной системы, работодатель определяет самостоятельно. Исходя из этого, применяется один из четырех уровней защиты. Состав и содержание мер по обеспечению безопасности персональных данных для каждого уровня защиты определены Приказом ФСТЭК России от 18.02.2013 N 21

«Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»

.

Обеспечение достойного уровня безопасности включает множество различных требований, которые надо строго соблюдать.

Так, чтобы обеспечить минимальный (четвертый) уровень защиты персональных данных работников, необходимо:

  1. защитить информацию с помощью средств, прошедших процедуру оценки соответствия;
  2. обезопасить от неконтролируемого проникновения помещения, в которых установлена информационная система;
  3. издать приказ (распоряжение) в произвольной форме с перечнем работников, имеющих в силу трудовых обязанностей доступ к персональным данным в информационной системе.
  4. обеспечить сохранность носителей персональных данных;

Персональные данные потенциальных сотрудников: как поступать с кандидатами Еще один интересный вопрос связан с персональными данными соискателей: какие действия разрешены работодателю, когда люди приходят на собеседования? Резюме считается общедоступной информацией, и при его использовании не нужно письменное согласие.

Но если соискатель заполняет анкету с указанием личных данных и специалист службы персонала снимает копии с документов (паспорт, диплом и т.п.), письменное согласие брать обязательно. В заключение хотелось бы подчеркнуть, что работа с персональными данными — это высочайший уровень ответственности. Не стоит пренебрегать правилами и недооценивать важность получения согласия и формирования защиты.

Кроме того помните, что сейчас трудовая инспекция особенно строго следит за соблюдением трудового законодательства довольно тщательно и не упускает ни одну из нормативных сфер.

Один короткий документ, полученный от работника или кандидата, обезопасит вас от административной ответственности. Анна Никурадзе, старший юрист Департамента трудового права Института профессионального кадровика

Шаг 3. Назначаем лицо, ответственное за обработку персональных данных

Согласно п.

1 ст. 22.1 Федерального закона № 152-ФЗ работодателю необходимо назначить лицо, ответственное за обработку персональных данных. Он будет следить за сохранностью персональных данных как на бумажных носителях, так и в электронном виде.

Можно назначить двух ответственных: одного – за работу с персональными данными на бумажных носителях (например, специалиста отдела кадров), другого – за работу с персональными данными в электронном виде (например, системного администратора). Назначение ответственного лица оформляется приказом (Пример 1).

Данная обязанность отражается в должностной инструкции работника. Шаг 4. Закрепляем права доступа к персональным данным в приказе Согласно ст.

88 ТК РФ работодатель обязан разрешить доступ к персональным данным работников только специально уполномоченным на это лицам.

Необходимо определить, кто работает с персональными данными работников.

Именно этим специалистам и необходимо дать доступ к «секретным материалам», оформив приказ (Пример 2). В приказе согласно закону необходимо отразить, кто (должности, Ф.И.О.), к каким персональным данным и с какой целью (какие функции выполняет с использованием персональных данных работников) имеет доступ; отразить данные о сотрудниках, имеющих доступ к персональным данным как на бумажных носителях, так и в электронном виде.

См. также Куролес И.И. Конфиденциальность информации. Что нужно знать секретарю // Секретарь-референт 2018. № 1. С. 78. В ред. от 29.07.2017, далее – Федеральный закон № 152-ФЗ. Пункт 1 части первой ст. 3 Федерального закона № 152-ФЗ.

Организация учета и хранения персональных данных

Работодатель должен обеспечивать защиту персональных данных работника от неправомерного их использования или утраты за счет своих средств (п.

7 ст. 86 ТК РФ). Разберем пошагово действия работодателя по учету и хранению персональных данных в организации. Шаг 1. Работодатель должен издать локальный акт, который будет регулировать порядок хранения и использования персональных данных. Таким актом обычно является Положение о персональных данных работников, с которым работники должны быть ознакомлены под подпись (п.

Таким актом обычно является Положение о персональных данных работников, с которым работники должны быть ознакомлены под подпись (п. 8 ст. 86 ТК РФ). Ознакомиться с Положением о персональных данных, как и с остальными локальными нормативными актами, работник должен до подписания трудового договора (ст.

68 ТК РФ). Ознакомить работника с документом путем рассылки его по электронной почте нельзя, это не будет считаться ознакомлением под подпись. При отсутствии подписи работника работодатель не сможет доказать, что работник был ознакомлен с данным документом.

Положение о персональных данных, как и любой другой локальный нормативный акт, издается и утверждается приказом, который подписывает руководитель организации или иное уполномоченное на это лицо.

В случае проверки организации, проверяющие органы могут запросить данный документ и проверить, ознакомлены ли с ним работники. Отсутствие такого документа или неознакомление работников с ним может являться основанием для привлечения работодателя к ответственности согласно части 1 статьи 5.27 КоАП РФ, а в случае совершения аналогичного нарушения повторно — по части 2 статьи 5.27 КоАП РФ. Такой вывод также подтверждается судебной практикой (Постановление ФАС Московского округа от 26.10.2006 № КА-А40/10220-06 № А40-20745/06-148-194).

Шаг 2. Работодатель утверждает документ, содержащий перечень персональных данных, которые используются в деятельности организации.

В этот документ включаются все сведения, которые работник письменно сообщает о себе при поступлении на работу, а также используемые в дальнейшем при оформлении кадровой документации.

Помимо этого в перечне должны быть указаны документы, содержащие те сведения о сотрудниках, которые организация представляет в различные государственные органы (налоговую и трудовую инспекции, органы статистики).

Шаг 3. Работодатель приказом должен назначить ответственных за работу с персональными данными и ответственных за обеспечение безопасности персональных данных. Таким ответственным может быть как конкретное лицо, так и подразделение. В последнем случае личную ответственность несет руководитель такого подразделения.

Этот приказ необходимо довести до сведения всех указанных в нем сотрудников, что должно подтверждаться их подписью.

Шаг 4. На случай проверки во избежание споров с проверяющими лучше подготовить следующие документы:

  1. журналы учета персональных данных, их выдачи и передачи другим лицам и представителям различных организаций, государственным органам;
  2. заявления работников о согласии на обработку персональных данных;
  3. журнал проверок наличия документов, содержащих персональные данные работника.

Шаг 5.

Приказом руководителя организации установить перечень мест хранения документации, являющейся носителем персональных данных работников, а также перечень мер, необходимых для обеспечения сохранности персональных данных, порядок их принятия.

Все документы, содержащие персональные данные работников, такие как личные дела, картотеки, учетные журналы, следует хранить в специально оборудованных шкафах или сейфах, которые запираются и опечатываются.

Трудовые книжки работников нужно хранить в сейфе отдельно от личных дел.

Ошибка № 5. Не проводите внутренний аудит работы с персональными данными

Что нужно сделать. Разработайте процедуру внутреннего контроля или аудита и периодически его проводите (п.

4 ч. 1 ст. 18.1 ФЗ от 27.07.2006 № 152-ФЗ). Для этого создайте комиссию, которая будет анализировать документы, изучать процессы обработки персональных данных и давать рекомендации по их защите.

Персональные данные работников

Вы здесь Опубликовано 2007-04-18 08:35 пользователем HRTrud Сотрудникам кадровой службы постоянно приходится иметь дело с персональными данными работников организации.

Сотрудникам кадровой службы постоянно приходится иметь дело с персональными данными работников организации.

Причем деятельность по работе с персональными данными включает не только их получение как у потенциальных, так и у работающих сотрудников, но и обработку, хранение, передачу и иные виды использования этих сведений. Однако не всегда кадровики имеют полное представление о правилах работы с персональными данными, не во всех организациях разработаны и утверждены соответствующие локальные нормативные акты.

Нередко имеют место случаи нарушения прав работников на защиту персональных данных. Вместе с тем действующее законодательство устанавливает довольно жесткие меры ответственности за нарушение норм, регулирующих обработку и защиту персональных данных, в связи с чем владение информацией о правилах работы с ними является на сегодняшний день достаточно актуальным.

Основную правовую базу в этой сфере составляют Трудовой кодекс РФ и Федеральный закон от 27 июля 2006 г. N 152-ФЗ «О персональных данных» (вступил в силу с 26 января 2007 г., далее — Закон N 152-ФЗ). Редакция ТК РФ, вступившая в силу в октябре 2006 г., внесла изменения в гл.

14 «Защита персональных данных работника», большинство из которых носит технический характер и связано с принятием Закона N 152-ФЗ. Но среди них есть и более существенные изменения, касающиеся передачи персональных данных и наказания лиц, виновных в нарушении порядка получения, обработки и защиты персональных данных. Эти нововведения будут изложены ниже.

Что такое персональные данные? Прежде всего выясним, какие именно сведения могут быть отнесены к персональным данным. Согласно ст. 3 Закона N 152-ФЗ персональные данные представляют собой любую информацию, относящуюся к определенному или определяемому на основании такой информации лицу, в том числе его: — фамилия, имя, отчество; — год, месяц, дата и место рождения; — адрес; — семейное, социальное и имущественное положение; — образование и профессия; — доходы и другая информация.

Как видно, Закон N 152-ФЗ содержит довольно широкий список сведений, относящихся к персональным данным.

Приведенный перечень является открытым. Но все ли из этих данных необходимы для успешного осуществления работником его трудовых функций? Безусловно, нет. К примеру, информация о социальном и имущественном положении не относится к трудовой деятельности работника.

С учетом этого ТК РФ более узко определяет персональные данные работника.

В частности, в соответствии со ст. 85 ТК РФ персональные данные работника — информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного работника.

Другими словами, это сведения, которые могут охарактеризовать человека именно как работника. Каких-либо иных критериев, как и конкретного перечня персональных данных работника, ТК РФ не устанавливает.

Как правило, это информация, необходимая для заключения трудового договора, заполнения личной карточки, назначения на другую должность и т.д.

Персональные данные работника содержатся в следующих документах: — в документе, удостоверяющем личность работника; — в трудовой книжке работника; — в страховом свидетельстве обязательного пенсионного страхования; — в документах воинского учета; — в документах об образовании, квалификации или о наличии специальных знаний или подготовки; — в иных документах, представляемых работником (справки, резюме, грамоты и др.); — в приказах по персоналу; — докладных и аналитических записках; — в материалах служебных проверок и расследований. Перечень документов, из которых можно почерпнуть персональные данные работника, также является открытым.

Кроме того, в зависимости от конкретной ситуации информация может быть предоставлена работником и устно либо путем заполнения различных анкет, опросных листов. Значительная часть бумаг, содержащих персональные данные работника, находится в его личном деле.

Важно, что персональные данные работника относятся к конфиденциальной информации. Конфиденциальность означает, что любое лицо, получившее доступ к персональным данным, не должно допускать их распространения без согласия субъекта персональных данных или наличия иного законного основания (ст.

3 Закона N 152-ФЗ). Не требуется обеспечивать конфиденциальность обезличенных и общедоступных персональных данных. Так, к обезличенным персональным данным относятся данные, в отношении которых невозможно определить их принадлежность к конкретному лицу. А если не известно, кому именно принадлежат эти данные, то режим конфиденциальности снимается.

К общедоступным персональным данным относятся данные, доступ к которым с согласия гражданина может быть предоставлен неограниченному кругу лиц (например, с согласия гражданина такие сведения находятся в справочниках, адресных книгах и др.). В общедоступных источниках могут содержаться сведения о профессии, квалификации. Поскольку любой желающий имеет к ним доступ, то специальной охраны они уже не требуют.

Работодатель должен обеспечивать «секретность» персональных данных работника.

Как правило, сбором и обработкой персональных данных в конкретной организации занимаются сотрудники кадровых служб или бухгалтеры. В трудовом договоре с работниками, обрабатывающими персональные данные, должны быть предусмотрены обязанности по обеспечению и сохранению конфиденциальности персональных данных. Справка. Персональные данные отдельных категорий работников могут относиться к сведениям, составляющим государственную тайну.

В первую очередь это касается государственных служащих.

Так, в соответствии с ч. 5 ст. 14 Федерального закона от 27 мая 2003 г. N 58-ФЗ

«О системе государственной службы Российской Федерации»

персональные данные, внесенные в личные дела и документы учета государственных служащих, являются персонифицированными и в случаях, установленных федеральными законами и иными нормативными правовыми актами РФ, относятся к сведениям конфиденциального характера.

К примеру, согласно ст. 17 Федерального закона от 3 апреля 1995 г. N 40-ФЗ «О федеральной службе безопасности» сведения о сотрудниках органов службы государственной безопасности, выполнявших (выполняющих) специальные задания в специальных службах и организациях иностранных государств, в преступных группах, составляют государственную тайну.

Обработка персональных данных Поскольку персональные данные — это информация, с которой нужно работать (например, специалистам кадровых служб), законодательство вводит такое понятие, как обработка персональных данных, и устанавливает конкретные требования к работе с ними. Согласно ст. 85 ТК РФ обработка персональных данных — это получение, хранение, комбинирование, передача или любое другое использование персональных данных работника. Закон N 152-ФЗ более подробно раскрывает указанное понятие.

Действия (операции) с персональными данными, согласно ст. 3 Закона N 152-ФЗ, включают: — сбор; — систематизацию; — накопление; — хранение; — уточнение (обновление, изменение); — использование; — распространение (в том числе передачу); — обезличивание; — блокирование; — уничтожение персональных данных. Таким образом, под обработкой персональных данных подразумеваются любые действия, производимые с персональными данными.

Например, формирование списков работников по организации, по структурным подразделениям, профессии, образованию и др. Статья 86 ТК РФ устанавливает следующие требования к обработке персональных данных работника, предъявляемые к работодателю (соответственно, и к работнику кадровой службы) и направленные прежде всего на защиту персональных данных: 1.

Обработка персональных данных работника может осуществляться в строго определенных целях, а именно для соблюдения действующего законодательства, содействия работникам в трудоустройстве, обучения и продвижения по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества.

Следовательно, в каких-либо иных целях организации обработка персональных данных запрещена. 2. При определении объема и содержания обрабатываемых персональных данных работодатель должен руководствоваться действующим законодательством.

То есть сведения, непосредственно не характеризующие человека как работника, не могут быть истребованы у него или переданы третьим лицам и др. 3. Важное требование, нередко нарушаемое на практике, устанавливает п.

3 ст. 86 ТК РФ: все персональные данные работника должны быть получены от него самого. В случае, когда указанные сведения можно получить только у третьей стороны, работника следует уведомить об этом заранее. Но одного уведомления недостаточно, необходимо также получить его письменное согласие.

При уведомлении работника следует сообщить о целях, предполагаемых источниках и способах получения персональных данных, о характере этих данных и о последствиях отказа работника дать письменное согласие на их получение.

Соответственно, сбор сведений о работнике без его ведома не допускается. 4. Во всех случаях работодатель не имеет права получать и обрабатывать персональные данные работника о его политических, религиозных и иных убеждениях и о частной жизни. Обратите внимание, что если запрет на получение и обработку данных о политических и религиозных убеждениях является безусловным, то ТК РФ разрешает получение данных о частной жизни, но только в случаях, непосредственно связанных с вопросами трудовых отношений, и лишь с письменного согласия работника.

5. Работодателю запрещается получать и обрабатывать персональные данные работника о его членстве в общественных объединениях или о его профсоюзной деятельности. 6. При принятии решений, затрагивающих интересы работника, нельзя основываться на его персональных данных, полученных исключительно путем их автоматизированной обработки или электронного получения.

Указанный запрет связан с тем, что полученные данные могут быть использованы не в том контексте. В каждой ситуации необходимо руководствоваться информацией, полученной путем комплексного сбора информации.

7. Защита персональных данных от неправомерного их использования или утраты обеспечивается работодателем за счет его средств и в порядке, установленном ТК РФ и другими федеральными законами.

Это обязанность работодателя, осуществляемая за его счет.

8. Работники и их представители должны быть ознакомлены под подпись с документами работодателя, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области.

Такими документами могут быть положение, инструкция и др. 9. Работники не должны отказываться от своих прав на сохранение и защиту тайны. Так, если в трудовой договор будет включена норма о том, что работник отказывается от указанного права, то в этой части трудовой договор будет считаться недействительным.

10. Работодатели, работники и их представители должны совместно вырабатывать меры защиты персональных данных. Примером таких мер является принятие локальных нормативных актов о персональных данных.

Хранение и использование персональных данных Согласно ст. 87 ТК РФ работодатель должен установить порядок хранения и использования персональных данных работников. Соответствующие нормы могут быть включены в локальный акт организации о персональных данных.

При этом они должны отвечать требованиям, установленным ТК РФ и иными федеральными законами. Основные документы, содержащие персональные данные работника, объединяются, как правило, в его личное дело. Порядок ведения и хранения личного дела устанавливается работодателем.

Вместе с тем сроки хранения документов, содержащих персональные данные работника, определяются в соответствии с Перечнем типовых управленческих документов, образующихся в деятельности организаций, с указанием сроков хранения (утв.

Федеральной архивной службой России 6 октября 2000 г., в ред. Решения от 27 октября 2003 г.). Так, личные дела руководителя организации, членов руководящих, исполнительных, контрольных органов организации, работников, имеющих государственные и иные звания, премии, награды, ученые степени и звания, хранятся постоянно.

Личные дела остальных работников хранятся в течение 75 лет.

Главным документом о трудовой деятельности и трудовом стаже работника, содержащим и его персональные данные, является трудовая книжка. Порядок хранения трудовых книжек устанавливают Правила ведения и хранения трудовых книжек, изготовления бланков трудовой книжки и обеспечения ими работодателей (утв.

Постановлением Правительства РФ от 16 апреля 2003 г. N 225). Согласно п. 45 Правил ответственность за организацию работы по ведению, хранению, учету и выдаче трудовых книжек и вкладышей к ним возлагается на работодателя.

Для этого приказом (распоряжением) работодателя назначается специально уполномоченное лицо.

Постановлением Госкомстата России от 5 января 2004 г. N 1 утверждены унифицированные формы первичной учетной документации по учету труда и его оплаты, в соответствии с данным Постановлением работодатель осуществляет хранение указанных документов.

Распоряжением Правительства РФ от 21 марта 1994 г.

N 358-р предусматривается, что в целях обеспечения сохранности документов по личному составу увольняемых работников в результате преобразования, реорганизации и ликвидации юридических лиц, а также социальной защищенности граждан, выполняющих работу по договору, учредителям вновь образующихся коммерческих и некоммерческих организаций рекомендовано включать в свои учредительные документы правила учета и сохранности документов по личному составу, а также своевременной передачи их на государственное хранение при реорганизации или ликвидации юридического лица. Поскольку обязанность по защите персональных данных ТК РФ возлагает на работодателя, то для осуществления такой защиты следует произвести определенные действия по созданию соответствующих технических условий, в частности особый режим доступа в те помещения, где хранятся персональные данные, оборудование мест для хранения такой информации, меры, направленные на защиту персональных данных от случайного уничтожения, утраты, несанкционированного доступа, изменений или распространения персональных данных. Передача персональных данных работников Одной из разновидностей обработки персональных данных работника является их передача как внутри организации, так и за ее пределы.

Требования к передаче персональных данных работника устанавливает ст.

88 ТК РФ: 1. При передаче персональных данных работника запрещается сообщать их без его согласия: — в коммерческих целях; — любой иной третьей стороне.

Исключением являются случаи, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также иные случаи, предусмотренные ТК РФ и федеральными законами (например, согласно ст. 228 ТК РФ при несчастном случае на производстве работодатель обязан немедленно проинформировать ряд государственных органов). Пример 1. ООО «Астана» обратилось к ОАО «Пермэнерго» с просьбой предоставить сведения о бывшем сотруднике ОАО «Пермэнерго».

Предоставление таких сведений возможно только при наличии письменного запроса и приложенного к нему заявления самого работника. В заявлении должно быть указано, на предоставление каких именно сведений дает согласие работник. Например: Генеральному директору ОАО «Пермэнерго» Петрову Ю.Т.

от Иванова А.А. Заявление Прошу передать ООО «Астана», где я работаю в настоящее время, копии документов, хранящихся в личном деле. 15.06.2007 Иванов А.А. Иванов Из этого следует, что персональные данные работников собираются для внутреннего сведения и осуществления нормальной работы организации и без согласия работника не подлежат передаче третьим лицам как письменно, так и устно.

2. Необходимо предупредить лиц, получающих персональные данные работника, о том, что они могут быть использованы только в целях, для которых были сообщены.

Работодатель вправе требовать подтверждения того, что это правило соблюдено. Лица, получившие персональные данные (в том числе работники кадровых служб), обязаны соблюдать режим секретности (конфиденциальности).

Это требование не относится к случаям передачи персональных данных в порядке, установленном федеральными законами (например, случаи, установленные Федеральным законом от 12 августа 1995 г. N 144-ФЗ «Об оперативно-розыскной деятельности». Согласно ст. 6 указанного Закона при осуществлении оперативно-разыскной деятельности проводятся такие мероприятия, как опрос, наведение справок, отождествление личности, исследование предметов и документов, снятие информации с технических каналов связи и др.).

3. Передача персональных данных в пределах одной организации или у одного индивидуального предпринимателя должна осуществляться в соответствии с локальным нормативным актом, с которым работники должны быть ознакомлены под подпись. Справка. Новшеством ТК РФ является то, что теперь и индивидуальные предприниматели обязаны передавать персональные данные согласно локальному акту и под подпись работников.

4. Доступ к персональным данным работника разрешается только специально уполномоченным лицам. При этом указанные лица вправе получать только те персональные данные, которые необходимы им для выполнения конкретных функций.

Следовательно, документы или информация, содержащая персональные данные работника, может быть частично предоставлена другим сотрудникам. Например, руководителям структурных подразделений только в пределах их компетенции.

На практике сделать это бывает довольно непросто, поскольку значительное количество персональных данных собирается в одном месте и хранится централизованно.

Упорядочить работу по передаче указанных данных поможет локальный нормативный акт о персональных данных, в котором может быть прописано, кто именно из руководителей и других работников и в каком объеме исходя из их компетенции имеет доступ к персональным данным работников. 5. Запрещается запрашивать информацию о состоянии здоровья работника, кроме сведений, относящихся к вопросу о возможности выполнения работником его трудовой функции. Запрос такой информации возможен для принятия решения о переводе беременной женщины на другую работу, исключающую воздействие неблагоприятных факторов (ст.

254 ТК РФ). 6. Передача персональных данных работника представителям работников допускается лишь в объеме, необходимом для выполнения представителями указанных ими функций. Так, при расторжении трудового договора по инициативе работодателя на основании п. п. 2, 3, 5 ч. 1 ст. 81 ТК РФ на работника — члена профсоюза работодатель передает профсоюзному органу копии документов, являющихся основанием для увольнения, и проект приказа (ст.

373 ТК РФ). Права работников на защиту персональных данных, хранящихся у работодателя Статья 89 ТК РФ предусматривает, что в целях обеспечения защиты персональных данных, хранящихся у работодателя, работники имеют право на: — полную информацию об их персональных данных и об обработке этих данных.

К примеру, в соответствии с п. 12 Правил ведения и хранения трудовых книжек, изготовления бланков трудовой книжки и обеспечения ими работодателей (утв.

Постановлением Правительства РФ от 16 апреля 2003 г.

N 225) работодатель обязан знакомить владельца трудовой книжки под подпись в личной карточке с каждой записью, вносимой в трудовую книжку (о выполняемой работе, о переводе на другую постоянную работу и увольнении); — свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные работника, за исключением случаев, предусмотренных федеральным законом. Следует иметь в виду, что действующим законодательством за отказ в предоставлении должностным лицом информации предусмотрена уголовная и административная ответственность (ст.

140 УК РФ — штраф от 200 до 500 МРОТ или доход осужденного за период от 2 до 5 месяцев либо лишение права занимать определенные должности или заниматься определенной деятельностью на срок от 2 до 5 лет; ст.

5.39 КоАП РФ — штраф от 5 до 10 МРОТ); — определение собственных представителей для защиты своих персональных данных.

В основном представителями работников в отношениях с работодателями являются профсоюзы (в том числе и в вопросах защиты персональных данных), также работник может защищать свои права самостоятельно; — доступ работника к своим медицинским данным с помощью медицинского специалиста, которого вправе выбрать сам работник; — требование об исключении или исправлении неверных или неполных персональных данных, а также данных, обработанных с нарушением требований ТК РФ. Так, согласно п. 27 указанных Правил работодатель обязан оказать работнику необходимую помощь в случаях выявления неправильной или неточной записи в трудовой книжке.

При отказе работодателя исключить или исправить персональные данные работника последний вправе заявить в письменной форме о своем несогласии с его обоснованием.

При этом персональные данные оценочного характера работник имеет право дополнить заявлением, выражающим его собственную точку зрения; — требование об извещении работодателем всех лиц, которым ранее были сообщены неверные или неполные персональные данные работника, обо всех произведенных в них исключениях, исправлениях или дополнениях; — обжалование в суд любых неправомерных действий или бездействия работодателя при обработке и защите его персональных данных. Ответственность за нарушение правил работы с персональными данными ТК РФ предусматривает, что лица, виновные в нарушении норм, регулирующих обработку и защиту персональных данных работника, могут быть привлечены к дисциплинарной и материальной, гражданско-правовой, административной и уголовной ответственности (ст.

90 ТК РФ). За нарушение правил работы с персональными данными работников сотрудник организации, ответственный за хранение таких данных, может быть привлечен к дисциплинарной ответственности путем применения к нему одного из дисциплинарных взысканий, предусмотренных ТК РФ (замечание, выговор, увольнение).

Дисциплинарные взыскания могут быть наложены только на тех сотрудников, в чьих трудовых договорах содержится обязанность по соблюдению правил работы с персональными данными.

При этом трудовой договор с сотрудником, разгласившим охраняемую законом тайну (к которой относятся и персональные данные), может быть расторгнут по инициативе работодателя (пп.

«в» п. 6 ст. 81 ТК РФ). Однако нужно иметь в виду, что увольнение по этому основанию возможно именно за разглашение персональных данных.

За иные нарушения правил работы с персональными данными работодатель вправе наложить другое дисциплинарное взыскание. Пример 2. По вине работника кадровой службы ОАО «Цветы Москвы» Сидорова П.А.

личные дела сотрудников были залиты водой.

Поскольку разглашения персональных данных работников не произошло, то отсутствуют основания для расторжения трудового договора с Сидоровым П.А.

по пп. «в» п. 6 ст. 81 ТК РФ. По итогам проведенной проверки ему было сделано замечание.

Что касается административной ответственности, в соответствии со ст. 13.11 КоАП РФ нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) влечет предупреждение или наложение административного штрафа на граждан в размере от 3 до 5 МРОТ, на должностных лиц — от 5 до 10 МРОТ, на юридических лиц — от 50 до 100 МРОТ. Кроме того, поскольку персональные данные относятся к конфиденциальной информации, необходимо иметь в виду ст.

13.14 КоАП РФ, которая предусматривает, что разглашение информации, доступ к которой ограничен федеральным законом, лицом, получившим доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей, влечет наложение административного штрафа на граждан в размере от 5 до 10 МРОТ, на должностных лиц — от 40 до 50 МРОТ. К материальной ответственности могут быть привлечены работники, обрабатывающие персональные данные (кадровики), если работодатель должен заплатить работнику, которому был причинен ущерб по их вине.

Например, в результате неправильной записи в трудовой книжке (не та формулировка причины увольнения и т.п.) он был лишен возможности продолжать свою трудовую деятельность в иной организации и понес моральный и материальный ущерб. Привлечение к гражданско-правовой ответственности возможно в виде денежной компенсации за причиненный моральный вред, обязанности опровержения сведений, порочащих честь, достоинство или деловую репутацию гражданина, и т.д. (ст. ст. 150, 151, 152 ГК РФ).

УК РФ предусматривает наступление уголовной ответственности за злоупотребления и незаконные действия с информационными данными о частной жизни (ст. 137 УК РФ), за неправомерный отказ должностного лица в предоставлении документов и материалов, непосредственно затрагивающих права и свободы гражданина, если эти деяния причинили вред правам и законным интересам гражданина (ст.

140 УК РФ), и др. Положение о персональных данных Согласно ст. ст. 8 и 22 ТК РФ работодатель вправе принимать в пределах своей компетенции локальные нормативные акты, предусматривающие в том числе порядок хранения и обработки информации о персональных данных работника. Локальный акт (документ) организации о персональных данных работника может быть разработан в виде положения или инструкции.

Разработкой его занимается, как правило, кадровая служба.

Четких требований к структуре и содержанию данного локального акта действующее законодательство не содержит, но по общему смыслу он должен устанавливать порядок обработки персональных данных работников, их передачи, а также права, обязанности работника и работодателя, ответственность за нарушение установленных правил. Примерная структура положения о персональных данных может выглядеть следующим образом.

1. Общие положения: — цели и задачи организации в области защиты персональных данных работников; — понятие и состав персональных данных работников; — документы, содержащие персональные данные работников; — порядок получения персональных данных работников. 2. Порядок хранения, использования и передачи персональных данных: — меры, предпринимаемые к защите от несанкционированного доступа к персональным данным; — место хранения, лицо, ответственное за хранение персональных данных работников (например,

«персональные данные работников вместе с необходимыми документами передаются на хранение в отдел кадров»

); — перечень лиц, имеющих доступ к персональным данным работников (руководитель организации, начальник отдела кадров, сотрудники отдела кадров и др.); — общие требования к передаче персональных данных работников; — порядок передачи персональных данных работников в пределах организации (в какое подразделение может быть передана соответствующая информация, порядок ее хранения в этих подразделениях, перечень лиц, имеющих право доступа к указанной информации в данных подразделениях). 3. Обязанности работодателя по хранению и защите персональных данных работников: — обязанности по обеспечению защиты персональных данных, ознакомлению работников с внутренними документами, регламентирующими работу с персональными данными, обеспечению доступа к персональным данным и др.

4. Права работников на защиту персональных данных: — право на бесплатный доступ к своим персональным данным, на получение копий любой записи, на определение своих представителей для защиты своих персональных данных и др.

5. Ответственность за разглашение конфиденциальной информации, связанной с персональными данными работников. Перечень лиц, имеющих доступ к персональным данным работников организации, целесообразно оформить в качестве приложения к положению о персональных данных. Пример 3. Приложение к положению о персональных данных Список лиц, имеющих доступ к персональным данным работников N Ф.И.О.

Должность 1 Гилев С.И. Начальник отдела кадров 2 Куликов Д.А. Инспектор отдела кадров Генеральный директор Дорошенко Н.Н.

Дорошенко С положением каждый работник должен быть ознакомлен под расписку, которая остается у работодателя.

Пример 4. Расписка Я, Иванов Петр Сергеевич, ознакомлен с положением о персональных данных работника, права и обязанности в области персональных данных мне разъяснены.

12.01.2007 Иванов С.П. Иванов Напомним, что разработка локального нормативного акта о персональных данных работников является обязанностью работодателя, неисполнение которой может повлечь привлечение к административной ответственности по ст. 5.27 КоАП РФ, а именно наложение административного штрафа на должностных лиц в размере от 5 до 50 МРОТ; на лиц, осуществляющих предпринимательскую деятельность без образования юридического лица, — от 5 до 50 МРОТ или административное приостановление деятельности на срок до 90 суток; на юридических лиц — от 300 до 500 МРОТ или административное приостановление деятельности на срок до 90 суток.

Судебно-арбитражная практика. Общество с ограниченной ответственностью (далее — Общество) обратилось в суд с кассационной жалобой, в которой просило отменить Постановление суда апелляционной инстанции. Из материалов судебного дела следует, что постановлением Государственной инспекции труда по г.

Москве на основании протокола об административном правонарушении Общество было привлечено к административной ответственности за совершение правонарушения, предусмотренного ч. 1 ст. 5.27 КоАП РФ, выразившееся в нарушении п.

8 ст. 86 ТК РФ, поскольку работник Общества Г. не был ознакомлен под подпись с документами организации, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области. Общество обратилось в Арбитражный суд г.

Москвы о признании незаконным постановления Государственной инспекции труда г.

Москвы. Решением Арбитражного суда г.

Москвы в удовлетворении заявленных требований отказано. Постановлением Девятого арбитражного апелляционного суда данное решение оставлено без изменения.

Как указано в кассационной жалобе, по мнению Общества, вывод суда о нарушении Обществом норм трудового законодательства не соответствует фактическим обстоятельствам и имеющимся в деле доказательствам, поскольку на момент проведения проверки Г. не являлся работником Общества, поэтому не требовалось его знакомить с документами, устанавливающими порядок обработки персональных данных.

Судом в удовлетворении кассационной жалобы было отказано.

При этом суд указал, что у Общества была реальная возможность для соблюдения правил и норм трудового законодательства, но оно свою обязанность не выполнило без наличия уважительных причин (Постановление ФАС Московского округа от 27 ноября 2006 г.

N КА-А40/11424-06). Судебно-арбитражная практика. Страховое общество (далее — Общество) обратилось в суд с кассационной жалобой, в которой просило отменить Постановление суда апелляционной инстанции.

Из материалов судебного дела следует, что постановлением Государственной инспекции труда по г.

Москве на основании протокола об административном правонарушении Общество было привлечено к административной ответственности за совершение правонарушения, предусмотренного ч. 1 ст. 5.27 КоАП РФ, выразившееся в нарушении ст. ст. 86 — 88 ТК РФ, а именно в неиздании локального нормативного акта, которым устанавливается порядок обработки персональных данных работников, а также их права и обязанности в этой области.

На Общество был наложен штраф в размере 30 тыс. руб. Общество попыталось оспорить указанное постановление в судебном порядке. Но Решением Арбитражного суда г.

Москвы в удовлетворении заявленных требований было отказано. Постановлением Девятого арбитражного апелляционного суда данное решение оставлено без изменения. Как указано в кассационной жалобе, по мнению Общества, нарушение является малозначительным, а назначенное наказание — чрезмерно суровым, в связи с чем Обществом был поставлен вопрос об отмене судебных актов, состоявшихся по делу.

Судом в удовлетворении кассационной жалобы было отказано.

При этом суд указал, что отсутствуют основания для признания данного правонарушения малозначительным (Постановление ФАС Московского округа от 1 ноября 2006 г. N КА-А40/10787-06). * * * Таким образом, из статьи и приведенных примеров судебно-арбитражной практики видно, что требования о защите персональных данных работников, заключающиеся в том числе в издании локального нормативного акта организации о персональных данных, носят обязательный характер.

Последние новости по теме статьи

Важно знать!
  • В связи с частыми изменениями в законодательстве информация порой устаревает быстрее, чем мы успеваем ее обновлять на сайте.
  • Все случаи очень индивидуальны и зависят от множества факторов.
  • Знание базовых основ желательно, но не гарантирует решение именно вашей проблемы.

Поэтому, для вас работают бесплатные эксперты-консультанты!

Расскажите о вашей проблеме, и мы поможем ее решить! Задайте вопрос прямо сейчас!

  • Анонимно
  • Профессионально

Задайте вопрос нашему юристу!

Расскажите о вашей проблеме и мы поможем ее решить!

+