Как работать с персональными данными работников в 2023 году
Здравствуйте, в этой статье мы постараемся ответить на вопрос: «Как работать с персональными данными работников в 2023 году». Если у Вас нет времени на чтение или статья не полностью решает Вашу проблему, можете получить онлайн консультацию квалифицированного юриста в форме ниже.
Важнейшее нововведение Федерального закона № 519-ФЗ от 30.12.2020 – это презумпция неправомерности распространения и обработки общедоступных личных сведений третьими лицами. Гражданам, желающим удалить свои персональные данные из общего доступа, больше не придется доказывать неправомерность их обработки третьими лицами.
Подотчетным станет сбор персональных данных:
- в ходе трудовых отношений,
- при заключении договоров с мобильными операторами, общественными объединениями или религиозными организациями, государственными автоматизированными информационными системами,
- уже упомянутых ФИО,
- даже если люди дают согласие на сбор и обработку своих персональных данных. Поэтому мы так часто должны были ставить галочки в окошках согласия на обработку данных: это снимало с компаний обязанность отчитываться перед Роскомнадзором, но с 1 сентября 2022 года наше согласие перестанет что-то значит и требовать его с нас не будет смысла,
- для выдачи пропуска (в том числе одноразового) на территорию или в здание (с 1 сентября 2022 года это становится незаконным, если организация не уведомила Роскомнадзор о сборе персональных данных).
Персональные данные в Конституции РФ
23 статья Конституции регулирует право гражданина:
- на личную тайну (затрагивающую одно физическое лицо)
- семейную тайну (имеется ввиду круг лиц, являющихся родственниками)
- профессиональную тайну (связанную с определенным спектром профессий)
- тайну связи, включающую в себя переписку и все виды разговоров, осуществляемые через технические устройства, в т.ч. телефон, телеграф, почту, интернет
- контроль распространяемой информации о себе
- защиту чести
- защиту доброго имени (имеется ввиду защита своей репутации от фальсификаций, связанных с ней, клеветы и наговоров)
- защиту данных о себе (сбор, хранение и использование персональных данных без согласия лиц, к которым эти данные относятся, запрещены)
- неприкосновенность жилища
Все это можно отнести к частной жизни человека, охраняемой государством.
Сколько согласий запрашивать?
В статье 9 Закона № 152-ФЗ уже установлена обязанность работодателей запрашивать у работника согласие на обработку персональных данных. Эта статья содержит и требования к оформлению такого согласия. В частности, оно должно быть конкретным, информированным и сознательным. Работник может дать его в любой позволяющей подтвердить факт получения такого согласия форме (письменно или в виде электронного документа, подписанного электронной подписью), если иное не предусмотрено федеральным законом.
Это согласие работодатели уже давно должны были запросить у работников.
К сведению: отдельное письменное согласие оформляется на обработку специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни (ст. 10 Закона № 152-ФЗ).
В новой ст. 10.1 Закона № 152-ФЗ прямо указано, что согласие на обработку персональных данных, разрешенных их субъектом для распространения, оформляется отдельно от иных согласий субъекта ПД на обработку его данных.
Таким образом, ранее составленные согласия на обработку персональных данных в соответствии со ст. 9 Закона № 152-ФЗ продолжают свое действие, в отношении них никаких изменений нет. А для размещения ПД работников в общем доступе работодатели должны запросить у работников отдельное согласие.
Обратите внимание: если работник сам раскроет свои личные данные, но не предоставит согласие, доказывать правомерность их распространения придется всем лицам, которые распространили эти сведения. Доказывать это понадобится и в случае, если ПД оказались раскрытыми неопределенному кругу лиц вследствие правонарушения, преступления или обстоятельств непреодолимой силы.
Что такое обработка персональных данных?
Обработка ПД – это любое действие с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
- работодатель заключил с вами трудовой договор, и вы передали в отдел кадров свои документы, где была создана папка с вашим личным делом, – работодатель осуществил сбор, запись и хранение ПД;
- работодатель передал ваши данные типографии для печати визитки – он осуществил передачу ПД;
- продавец сжег документы, в которых содержались данные покупателей, – он уничтожил ПД;
- покупатель при покупке товара через интернет передал владельцу сайта свои ПД – указал Ф.И.О., адрес, почту и телефон. Данные были сохранены в электронной базе сайта – его владелец осуществил сбор, запись и хранение ПД.
Из примеров видно, что ваши ПД могут храниться как на бумажных носителях, так и на электронных.
Согласие на обработку персональных данных
В соответствии со ст. 9 закона «О персональных. » от 27.07.2006 № 152-ФЗ субъект персональных данных самостоятельно принимает решение о предоставлении права на обработку и использование этой информации третьими лицами. Согласие оформляется в письменном виде (а если данные передаются через интернет, в электронном).
Необходимость в предоставлении личной информации возникает постоянно: при медицинском осмотре в поликлинике, трудоустройстве на работу и даже оформлении заказа в интернет-магазине.
Сторона, получающая личные сведения, обязана:
- заручиться согласием их владельца на обработку и использование;
- обеспечивать конфиденциальность;
- хранить документ, подтверждающий, что владелец разрешил работать с ними.
ВАЖНО! Работник в любое время вправе отозвать согласие на обработку персональных данных (ч. 2 ст. 9 Закона о персональных данных). В подобной ситуации продолжение обработки персональных данных работника без его согласия возможно при наличии оснований, перечисленных в п. п. 2 — 11 ч. 1 ст. 6, ч. 2 ст. 10, ч. 2 ст. 11 Закона о персональных данных.
Нарушение этих требований влечет за собой применение к оператору персональных данных мер ответственности.
Права субъектов общедоступных данных
Субъекты ПД могут подать заявление с требованием заблокировать, уничтожить, уточнить или изменить общедоступные данные, если сведения утратили актуальность, являются неполными или не требуются для целей обработки. Субъекты праве также запросить доступ к своим ПД и узнать, какие средства использует оператор для их обработки.
Информация должна использоваться в соответствии с требованиями законодательства и быть защищенной независимо от того, является она конфиденциальной или общедоступной. В обязанности операторов входит обеспечить полную защиту ПД субъекта и ограничить доступа к данных посторонних лиц.
Оператор начинает обрабатывать персональные данные только после получения письменного разрешения субъекта на обработку. Согласие включает информацию о физическом лице и данные оператора: название компании, фамилия, имя и отчество оператора, должность. Также в согласии требуется указать цель обработки и список данных с описанием операций, которые будут выполняться с информацией. Физическое лицо имеет право на отзыв своих ПД и аннулирование своего согласия на обработку.
В случае недееспособности или смерти субъекта согласие на обработку и использование ПД запрашивается у наследников или законных представителей. При этом нужно руководствоваться Федеральным законом о персональных данных.
В случае нарушения требований законодательства виновные несут административную, уголовную и другие виды ответственности. Неважно, являются ли ПД конфиденциальными или общедоступными, в соответствии со статьей 8 ФЗ-152 о персональных данных общедоступные ПД могут размещаться в общедоступных источниках только с согласия субъекта данных. Персональные данные должны быть исключены из источников, если этого требует субъект или уполномоченные органы: Роскомнадзор, суд или другие госструктуры.
Отзыв согласия на обработку и распространение общедоступных персональных данных
Важнейшее нововведение Федерального закона № 519-ФЗ от 30.12.2020 – это презумпция неправомерности распространения и обработки общедоступных личных сведений третьими лицами. Гражданам, желающим удалить свои персональные данные из общего доступа, больше не придется доказывать неправомерность их обработки третьими лицами.
Теперь обязанность предоставить доказательства законности распространения и обработки общедоступных персональных данных лежит на каждом лице, осуществившем их распространение (п. 2 ст. 10.1 Федерального закона от 27.07.2006 № 152-ФЗ).
По новым правилам физлица в любое время вправе обратиться к любому оператору персональных данных с требованием прекратить передачу (распространение, предоставление и доступ) своих общедоступных персональных данных. Обосновывать данное требование не нужно. Оператор персданных обязан удалить персональные данные физлица из общего доступа по факту получения соответствующего требования.
Общедоступные данные по-новому
С 1 марта 2021 года вместо общедоступных данных появилось понятие «персональные данные, разрешенные субъектом персональных данных для распространения» – сведения о субъекте, доступ к которым субъект предоставил неограниченному кругу лиц путем дачи согласия на обработку этих ПД, разрешенных им для распространения в порядке, предусмотренном Законом № 152-ФЗ (ст. 3 Закона № 152-ФЗ).
При этом под распространением персональных данных в новой редакции понимаются действия, направленные на их раскрытие неопределенному кругу лиц.
К сведению: в прежней редакции закона распространением назывались действия, направленные на передачу ПД определенному кругу лиц или на ознакомление с ПД неограниченным кругом лиц, в том числе обнародование в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к ПД каким-либо иным способом.
Таким образом, прежде чем разместить для неограниченного круга лиц (на сайте организации, в печатных изданиях, в рекламе и т. д.) персональные данные работника, нужно получить его согласие.
Классификация персональных данных
Законом (№152) выделяется несколько разновидностей ПД.
При разделении этих данных расположить их можно по-разному: в зависимости от уровня «секретности», сложности сбора и использования третьими лицами.
Итак, рассматриваемые данные могут разделяться на:
- общие,
- биометрические,
- специальные,
- обезличенные.
Общие персональные данные
Общие – отражают все основные сведения о гражданине:
- фамилия, имя и отчество гражданина,
- его паспортные данные,
- ИНН,
- семейное положение,
- полученное образование,
- адресные данные,
- контактный номер.
Обработка ПД происходит и в организациях
Обычно целью такого вида обработки является оформление с субъектом ПД трудовых правоотношений. Если претендент на должность не позволит в письменной форме обработать персональные сведения о нем, то работодатель не вправе будет подписать с ним трудовое соглашение.
Внимание! Обработке подлежат такие данные устраивающегося на работу специалиста (или уже работающего сотрудника):
- его фамилия, имя и отчество,
- адрес (по месту проживания/прописки),
- данные паспорта,
- сведения о полученном образовании,
- ИНН,
- контакты (домашний, мобильный),
- информация о работе,
- объем получаемых доходов и прочее.
Не все из перечисляемых данных следует относить к ПД. К примеру, в точности не обозначается, будет ли считаться телефонный номер персональными данными человека.
Разъяснения Роскомнадзора на поступившие от граждан обращения касательно этого вопроса следующие. Контактный номер гражданина сам по себе не позволяет персонализировать человека.
В отдельном рассмотрении номер нельзя рассматривать как персонализированную информацию, однако в совокупности с ФИО его владельца и населенным пунктом, где он проживает, номер телефона считают ПД.
Как таковую обезличенную, не адресованную конкретному гражданину смс-рассылку нельзя считать нарушением закона (№152).
Отдельные общие ПД можно найти в таких личных документах гражданина, как: паспорт, «военник», полученный по окончании учебного заведения диплом, персональная карточка работника, трудовая книжка работника и прочее.
В этих случаях нет необходимости составлять отдельное разрешение в письменном виде, чтобы получить такие данные. Вполне приемлемо и косвенное – проставленная галочка в соответствующем пункте заполненной онлайн-анкеты.
Как проверить наличие судимости у человека по фамилии?
Но все же такая простота доступа довольно часто приносит в лучшем случае неудобства, а в худшем – серьезные проблемы. Может просто приходить навязчивая реклама, а может дойти дело и до шантажа, подделки заявок на кредит.
Отдельные аспекты личной жизни гражданина, включающие в себя разного рода тайны: налоговую, врачебную, усыновления и т. п., гарантированно защищены законодательно – за несоблюдение обязательства неразглашения виновников могут привлечь к уголовной ответственности по статье 137 УК РФ.
ПД у юридических лиц
Учтите! В них входят:
- полное наименование юр. лица,
- данные об организационно-правовой форме,
- юр. адрес,
- адрес расположения юр. лица,
- основной гос. регистр. нормер (ОГРН),
- ИНН,
- реквизиты счета.
В ряде случаев берутся в расчет данные руководства юр. лица.
Биометрические ПД
Эта разновидность ПД включает в себя ряд индивидуальных характеристик (биологических и физиологических) конкретного субъекта. К примеру, отпечатки пальцев, группа (резус-фактор) крови, точный рост, цвет глаз, точный вес, данные анализа ДНК и прочее.
В этот ряд включается и информация, получение которой осуществимо с фото (видео), отражающими конкретного человека. Такие данные часто нужны во время лечения, трудоустройства в гос. структуры, при оформлении загран. паспорта (визы).
Специальные ПД
Внимание! К специальным следует отнести данные о:
- расе и национальности,
- вероисповедании,
- состоянии здоровья,
- имеющихся судимостях,
- философских убеждениях,
- интимной жизни (в т. ч. о сексуальных предпочтениях).
Такие сведения отражаются в мед. справках, личном деле гражданина и прочих документах. Они необходимы для лиц, решивших участвовать в политической деятельности, при вступлении в ряды вооруженных сил и т. д. Доступными эти сведения для третьих лиц становятся только с позволения их владельца.
Согласно Федеральному закону 152-ФЗ от 27 июля 2006 года «О защите персональных данных» вся информация, получаемая работодателями, учреждениями, компаниями, соцсетями, продавцами от сотрудников и клиентов подлежит тщательному хранению. За передачу ПД третьим лицам предусмотрена административная и, в редких случаях, уголовная ответственность. При этом для получения любой частной информации должен быть назначен уполномоченный человек, который будет заниматься обработкой полученных данных и обеспечит их сохранность.
Собирать персональные данные можно только с согласия от опрашиваемого человека. При этом устного разрешения зачастую будет недостаточно – лучше потратить время и подписать небольшое соглашение или предусмотреть поле с требованием поставить галочку (если это интернет-ресурс) о согласии на обработку переданных ПД, чем в дальнейшем доказывать свою правоту.
Что же касается предмета закона, то под понятием персональных данных стоит понимать информацию, которая относится к конкретному человеку и помогает определять его личность.
Кто отвечает за защиту персональных данных?
Ответственность за защиту данных несет оператор персональных данных. Это может быть любая компания, которая занимается сбором, хранением или обработкой информации. Компания назначает ответственное лицо – ему передаются полномочия по работе с ПД конкретной категории (клиенты, сотрудники, партнеры и др.). В случае утечки информации в первую очередь виновным будет тот, кто отвечал за данные по конкретной категории.
Если это электронный ресурс, тогда вся ответственность возлагается на собственника сайта – вне зависимости от того, зарегистрирован ли он как оператор ПД. Если сайт собирает какую-либо информацию, значит по факту собственник уже является оператором.
Если же на сайте нет информации о собственнике ресурса, вся ответственность за распространение информации ложится на администратора домена этого сайта.
Существуют разные способы хранения данных. Некоторые не готовы переходить к электронным архивам, а значит, предпочитают вести дела традиционным образом (то есть на бумаге). Суть метода в том, чтобы хранить все данные о сотрудниках, его личные документы и копии в буквальной папке, которая называется личным делом.
Каковы преимущества такого типа ведения личных дел? Среди них выделяют следующие:
- всю информацию просто найти, так как она располагается в одном месте;
- данные можно легко систематизировать;
- поиск информации занимает максимально короткое время.
Однако такой метод имеет и некоторые минусы. Например, следующие:
- наличие дополнительных ресурсов для хранения, таких как специальные помещения, оборудование, сейфы и так далее;
- трудоемкость процесса;
- требуются специальные навыки для ведения бумажной документации.
Иногда отделы кадров предпочитают хранить информацию об одном сотруднике раздельно (в различных тематических папках). Так, отдельно хранятся все трудовые договоры, анкеты и прочие документы по всем работникам сразу. Их нумеруют для более удобного поиска. Этот способ менее трудозатратен, чем тот, что был описан выше, да и не требует никаких специальных навыков от сотрудника отдела кадров.
Тем не менее и он не лишен недостатков. Среди них выделяют следующие:
- большое количество времени требуется для того, чтобы отыскать нужные данные о конкретном работнике;
- риск утечки конфиденциальной информации существенно повышается.
Хранение в электронном виде
В описываемом случае отделы кадров предпочитают применять электронные базы данных и разнообразные информационные системы. Часто это гарантирует обеспечение безопасности персональных данных.
Каковы преимущества такого типа хранения информации? Далее будут перечислены основные из них:
- нет необходимости иметь большой архив;
- существенная экономия пространства;
- нет никаких ограничений по срокам хранения;
- обрабатывать персональные данные удобно, и для этого не потребуется много времени;
- несанкционированный доступ к данным практически исключен;
- не нужны никакие дополнительные ресурсы.
Выделяют, конечно же, и некоторые минусы. Например, следующие:
- потребность хранить резервные копии всей базы данных;
- необходим специалист, который займется администрированием системы информации;
- потребуются расходы на специально предназначенное для этого оборудование и программное обеспечение;
- сотрудник, который обрабатывает персональные данные, должен быть исключительно грамотен.
Какие именно методы применяют для того, чтобы эффективно защитить персональную информацию сотрудников?
- Сделать помещения, в которых обрабатываются личные данные, полностью закрытыми для доступа других сотрудников.
- Для получения какой-либо информации сотрудники должны получить специальное разрешение.
- Хранение данных должно быть четко организовано.
Учитывая наличие и недостатков, и преимуществ у каждого из методов, как правило, работодатели комбинируют их. Не имеет значения, какой именно способ хранения информации используется, работодатель, так или иначе, обязан получить согласие сотрудника на обработку его личной информации.
Использование личной информации в компании
Часто возникает вопрос о том, что входит в состав персональных данных работника юридического лица и как осуществлять хранение подобной информации. Согласно Трудовому Кодексу, к ПДн сотрудника относится информация, позволяющая составить представление о нем как о работнике, то есть стаж деятельности, уровень квалификации и зарплаты, пенсионные и налоговые отчисления и т.д. Обязанность предприятия — позаботиться об их защите и использовании для создания оптимальных условий развития профессиональных навыков и повышения квалификации. Кроме того, работодатель должен сообщить, как именно будут использоваться персональные данные физического лица. Предварительно создаются и внедряются специальные распорядительные документы внутреннего использования, в частности, требуется Инструкция либо Положение о ПДн.
Сбор сведений производится для выполнения следующих задач:
- профилактики разглашения корпоративной тайны и обеспечения сохранности имущества;
- приема на работу и документального закрепления этого события;
- получения оснований для установления той или иной заработной платы;
- проверки выполнения персоналом возложенных на них обязанностей;
- выявления и подтверждения причин для перевода сотрудника на более высокую должность.
При нарушениях законодательства либо утечке персональных данных (намеренной либо из-за недостаточно эффективной системы защиты) предприятие может быть привлечено к административной ответственности в виде штрафа до 18 миллионов рублей. Выявить недоработки и своевременно их исправить позволит аудит, проведенный специалистами нашего Центра — наши специалисты помогут установить, насколько защищены частные данные, и составят рекомендации по оптимизации.
Характеристики безопасности персональных данных
Для ИСПДн определяют характеристики безопасности персональных данных, которые делятся на основные и дополнительные:
ОСНОВНЫЕ:
- конфиденциальность
- целостность
- доступность
ДОПОЛНИТЕЛЬНЫЕ:
- неотказуемость
- учетность (подконтрольность)
- аутентичность (достоверность)
- адекватность
Структура информационной системы подразделяется на:
- автономные (не подключенные к иным информационным системам) комплексы технических и программных средств, предназначенные для обработки персональных данных (автоматизированные рабочие места);
- комплекс автоматизированных рабочих мест, объединенных в единую информационную систему средствами связи без использования технологии удаленного доступа (локальные информационные системы);
- комплекс автоматизированных рабочих мест и (или) локальных информационных систем, объединенных в единую информационную систему средствами связи с использованием технологии удаленного доступа (распределенные информационные системы).
Персональные данные – использование на предприятии
В главе 14 Трудового кодекса РФ раскрывается понятие ПД работника. Это данные, которые позволяют получить определенные характеристики человека в качестве сотрудника конкретной компании (стаж работы, профессиональная квалификация, заработная плата, данные по ФНС, ПФР и пр.).
Такие ПД должны храниться должным образом и применяться для того, чтобы помочь работнику выполнять его обязанности в соответствии с его должностью и профессией, продвигаться по служебной лестнице, повышать свою квалификацию и получать новые профессиональные знания. Также ПД используются с целью защиты сотрудников и имущества компании.
Личная информация сотрудника может содержать только те данные, которые относятся к его профессиональным качествам, особенностям, позволяющим ему выполнять трудовые обязанности. По Конституции Российской Федерации, личная жизнь считается неприкосновенной и конфиденциальной, ее частью являются ПД.
В Трудовом кодексе узко определено данное понятие. В нем говорится, что ПД работника являются сведениями, необходимыми руководству предприятий для выполнения им своих профессиональных обязанностей, эта информация относится к конкретному работнику.