Легализация трудовых отношений

О некоторых вопросах организации обработки персональных данных

Защита персональных данных работников является важной  частью кадрового делопроизводства, так как в процессе трудовой деятельности работника работодатель накапливает и хранит документы, содержащие персональные данные работника, а это огромный массив документов. Вопросы защиты персональных данных урегулированы в Конституции Российской Федерации,  Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Федеральный закон № 152), Трудовым кодексом Российской Федерации, а также подзаконными актами, приятыми во исполнение указанных Федеральных законов.
Какая информация о работнике может содержать его персональные данные?
Законодательством установлено, что  персональными данными является любая информация, прямо или косвенно относящаяся к субъекту персональных данных - определенному или определяемому физическому лицу, в том числе фамилия, имя, отчество, пол, возраст,  изображение человека (фотография и видеозапись), образование, квалификация, профессиональная подготовка и сведения о повышении квалификации, место жительства, семейное положение, наличие детей, родственные связи,  факты биографии и предыдущая трудовая деятельность (место работы, судимость, служба в армии, работа на выборных должностях, на государственной службе и др.), которая позволяет установить личность и с этой целью используется оператором. Отметим, что перечень таких данных - открытый. Это означает, что любые сведения, позволяющие идентифицировать человека, можно отнести к его персональным данным. Однако не все персональные данные имеют одинаковый правовой статус (устанавливающий различия их использования), который за¬висит от принадлежности к определенной категории. Так, Федеральным за¬коном № 152 выделяются следующие  категории персональных данных: об¬щие, специальные, биометрические и обезличенные.
Кто является участником правоотношений связанных с обработки персональных данных?
Законодательством о персональных данных к таким участникам относятся:
субъект персональных данных – физическое лицо, которое возможно идентифицировать по средствам тех или иных персональных данных;
оператор персональных данных – в трудовых отношениях это работодатели, как юридические лица, так и  физические лица (ИП), самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных;
органы, контролирующие работу операторов персональных данных (Роскомнадзор, ФСТЭК, ФСБ России, Прокуратура).
Какие требования законодательства необходимо выполнить работодателю (оператору персональных данных), чтобы  избежать претензий со стороны контролирующих органов?
Чтобы избежать нарушений законодательства о защите персональных данных работодателям необходимо предусмотреть и выполнить ряд мер-приятий.
1. Уведомить уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 ст.22 Федерального закона (если персональные данные обрабатываются в соответствии с трудовым законодательством, обработка персональных данных относящихся к членам (участникам) общественного объединения, разрешенных субъектом персональных данных для распространения и др.)
2. Принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных законодательством о защите персональных данных. К таким мерам могут, в частности, относиться:
1) назначение, ответственного за организацию обработки персональных данных;
2) принятие документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений;
3) применение правовых, организационных и технических мер по обеспечению безопасности персональных данных;
4) осуществление внутреннего контроля и (или) аудита соответствия обработки персональных данных законодательству о персональных данных.
5) заключение  соглашения о неразглашении информации, содержащей персональные данные, которое устанавливает ряд обязанностей для работ-ника оператора, имеющего доступ к персональным данным, в частности, обязанность по соблюдению режима конфиденциальности персональных данных.
6) определения угрозы безопасности персональных данных при их обработке в информационных системах персональных данных (1С Бухгалтерия, Кадры и другие информационные системы).
Кроме того потребуются издание приказов о допуске к обработке персональных данных,  об утверждении перечня информационных систем в которых осуществляется обработка персональных данных (ИСПДн), об определении контролируемой территории, где осуществляется обработка персональных данных, разработать и утвердить инструкции ответственного за организацию обработки персональных данных, ответственного за обеспечение безопасности персональных данных, по учету лиц, допущенных к работе с персональными данными в ИСПДн, по проведению инструктажа, допущенных к работе в ИСПДн, пользователя ИСПДн , по учёту и хранению съёмных носителей, по резервному копированию и восстановлению информации в ИСПДн, по организации антивирусной защиты в ИСПДн, а также ведения журналов учета запросов субъектов персональных данных, съемных носителей, содержащих персональные данные, прохождения первичного инструктажа работниками, нарушения и восстановления работоспособности, прав доступа к ИСПДн, средств защиты информации. Реализовать иные мероприятия предусмотренные  законодательством о персональных данных.
Обратим внимание, на то, что оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных законодательством о персональных данных.
Какие требования к обработке персональных данных установлены в  Трудовом кодексе РФ?
При обработке персональных данных работника работодатель обязан следовать требованиям, установленным ст. 86 ТК РФ, в частности:
действовать в целях соблюдения законов и других нормативных правовых актов, содействия работникам в трудоустройстве, получении образования, продвижении по службе, обеспечения их личной безопасности, контроля качества и количества работы, сохранности имущества организации;
получать персональные данные исключительно у работника. Если же они могут быть получены только у третьих лиц, то необходимо уведомить об этом работника и заручиться его письменным согласием;
обеспечить за счет собственных средств защиту персональных данных от неправомерного использования и утраты;
знакомить работников под подпись с локальными нормативными актами, устанавливающими порядок обработки персональных данных.
Что должно содержать согласие работника, на обработку персональных данных и каков порядок его получения?
  Согласно п. 1 ст. 6, ст. 9 Федерального закона «О персональных данных» обработка персональных данных осуществляется с согласия работника. Важно отметить, что такое согласие работник дает  на их обработку свободно, своей волей и в своих интересах. Данное работником согласие на обработку персональных данных может быть отозвано им.
 Согласие в письменной форме субъекта персональных данных на их обработку должно включать:
 1) фамилию, имя, отчество, адрес субъекта персональных данных, но-мер основного документа, удостоверяющего его личность, сведения о дате выдачи этого документа и выдавшем его органе;
 2) фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи этого документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия такого представителя (при получении согласия от представителя субъекта персональных данных);
 3) наименование или фамилию, имя, отчество и адрес оператора, полу-чающего согласие субъекта персональных данных;
 4) цель обработки персональных данных;
 5) перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
 6) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;
 7) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;
 8) срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;
 9) подпись субъекта персональных данных.
 Отдельно от других согласий на обработку персональных данных нужно оформлять согласие на обработку персональных данных, разрешенных для распространения (т.е. для доступа  неограниченного круга лиц). При этом работник должен дать такое согласие отдельно по каждому виду персональных данных подлежащих распространению. Он вправе также установить, например, запрет на передачу (кроме предоставления доступа) данных неограниченному кругу лиц и т.д. Требования к содержанию согласия на обработку персональных данных, разрешенных для распространения, устанавливает Роскомнадзор (ч. 9 ст. 9 Федерального закона «О  персональных данных»).
Правомерно ли поступает организация, размещая на своем сайте фотографии работников, в том числе полученных в ходе массовых мероприятий, требуется ли согласие работника?
Если организация разместила на своем сайте фотографии руководителей структурных подразделений, и при этом организация не получила от них  согласие на обработку персональных данных, разрешенных для распространения, то она поступает не правомерно. Однако статья 152.1 Гражданского кодекса РФ содержит перечень случаев использования изображения гражданина, в которых согласие последнего на совершение данных действий не требуется. К ним, в частности, относится использование изображения гражданина: в государственных, общественных или иных публичных интересах; изображения полученного при съемке, которая проводилась в местах, открытых для свободного посещения, или на публичных мероприятиях (собраниях, съездах, конференциях, концертах, представлениях, открытых судебных заседаниях, спортивных и иных подобных мероприятиях), за исключением случаев, когда такое изображение является основным объектом использования; если гражданин позировал за плату. Таким образом, изображение гражданина может быть использовано без его согласия и оформление отдельного согласия на обработку персональных данных (фотографию с его изображение) не требуется, если оно не является основным объектом использования, а общий кадр (снимок) отображает информацию именно о мероприятии, на котором он был сделан.

Все новости