Бухгалтеры и специалисты по кадровому учету уже давно привыкли, что при приеме на работу нового сотрудника у него нужно брать Согласие на обработку персональных данных. А если сотрудник отказывается подписывать его? Какие штрафы ждут организацию за отсутствие этого документа? Да и как показывает судебная практика по таким вопросам, не все так просто, как кажется на первый взгляд. В этой статье мы подробно разберем все нюансы и расскажем о нововведениях в работе с личными данными в 1С: Бухгалтерии предприятия ред. 3.0.
В рамках трудовых отношений компании — работодателю необходимо обладать личными данными физ. лица для корректного оформления кадровых документов и выполнения работником своих трудовых функций.
Персональные данные (по тексту далее ПДн) — это информация, которую можно отнести к конкретному физ. лицу (Закон от 27.07.2006 № 152-ФЗ). Как правило, такими данными является Ф.И.О., сведения о предыдущих местах работы, паспортные данные, и прочие.
Стоит заметить, что работодатель вправе запрашивать только те сведения, которые нужны для выполнения должностных обязанностей. Это значит, что информацию, касающуюся национальной принадлежности, политических взглядов, вероисповедания и другие подобные сведения работодатель запрашивать не имеет права.
Новые правила с 2021 года
1 марта произошли изменения в ФЗ от 27.07.2006 № 152-ФЗ, которые внес ФЗ от 30.12.2020 № 519-ФЗ.
Рассмотрим основные нововведения.
1. Появился документ «Согласие на распространение ПДн сотрудника».
Теперь, получив от сотрудника согласие на обработку ПДн, компания не может их распространять. Для этих целей необходимо получить от физ. лица отдельный документ, который позволяет оператору распространять данные, например, размещать их на сайте компании, на доске почета, передавать банку и другое. В этом документе важно предоставить сотруднику возможность указать какую именно информацию он разрешает распространять работодателю.
2. Молчание субъекта ПДн не может быть расценено, как согласие на распространение ПДн. Это актуально и для бездействия сотрудника (п. 8 ст. 10.1 Закона № 152-ФЗ).
3. Любые ПДн о физ. лице можно публиковать только при наличии его письменного согласия, даже если лицо самостоятельно их разместило в общедоступном месте (интернет или социальные сети). Раньше такие личные данные можно было распространять без получения согласия от их владельца (п. 2 ст. 10.1 Закона № 152-ФЗ).
С какими документами надо ознакомиться в первую очередь:
- Федеральный закон № 152-ФЗ «О персональных данных» от 27.07.2006.
- Федеральный закон № 149-ФЗ «Об информации, информационных технологиях и о защите информации» от 27.07.2006.
- Приказ ФСБ РФ № 378 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством РФ требований к защите персональных данных для каждого из уровней защищенности» от 10.07.2014.
- Приказ ФСТЭК № 17 «Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах» от 11.02.2013.
- Приказ ФСТЭК № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» от 18.02.2013.
- Постановление Правительства РФ № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» от 01.11.2012.
- Федеральный закон № 99-ФЗ «О лицензировании отдельных видов деятельности» от 04.05.2011.
- Рекомендации Роскомнадзора по составлению документа, определяющего политику оператора в отношении обработки персональных данных, в порядке, установленном Законом № 152-ФЗ «О персональных данных».
Отказ от согласия
В случае, если сотрудник не дал согласия на распространение ПДн, но при этом дал согласие на обработку, то работодатель не в праве передавать информацию третьим лицам (п. 4 ст. 10.1 Закона № 152-ФЗ).
Правило не распространяется на передачу ПДн гос. органам (ИФНС, ФСС, ПФР, полиции и другим).
Стоит отметить, что сотрудник и вовсе может отказаться от дачи согласия на обработку ПДн. Но это не значит, что работодатель не вправе обрабатывать такие данные. Это возможно в случаях, указанных в ч. 2 ст. 9 Закона № 152-ФЗ. Одним из которых является выполнение возложенных законом обязанностей на компанию.
Упрощенная пошаговая инструкция для выполнения норм обработки ПДН:
- Ознакомьтесь с Законом № 152-ФЗ «О персональных данных».
- Определитесь, какого рода данные нужно будет обрабатывать, чтобы понять, распространяется ли Закон 152-ФЗ на ваше учреждение.
- Проверьте, нет ли других норм, относящихся к вашему случаю.
- После того, как вы определились с типом данных, нужно осознать, какие могут возникнуть угрозы для их защиты.
- Исходя из форм угроз, определите способы и инструменты защиты данных.
- Составьте внутренние регламентирующие документы, проверьте их оформление.
- Получите согласие лиц, персональные данные которых вы намерены обрабатывать.
Как работодателю получить согласие?
Получить согласие на распространение ПДн можно двумя способами:
1. Непосредственно у физ. лица, то есть с личной подписью на бумаге;
2. Через информационную систему Роскомнадзора. Любое физ. лицо может подключиться к системе для того, чтобы указать какие ПДн и кому он разрешает распространять.
Оператор, в свою очередь, также имеет возможность подключиться к данной системе и не получать от конкретного физического лица письменное согласие, а использовать информацию, содержащуюся в системе Роскомнадзора. Это возможность станет доступной с 1 июля 2021 года.
Согласие: как правильно оформить
Ч. 3 ст. 9 Закона № 152-ФЗ содержит такое положение: оператор обязан либо получить у субъекта официальное согласие на обработку его данных либо представить обусловленные правовыми нормами основания для осуществления подобной деятельности без согласия лица.
Оператору предлагается руководствоваться статьями 2 –11, ч. 1 ст.6, ч.2 ст. 10 и ч. 2 ст. 11 Закона № 152-ФЗ. Ответственность за соблюдение этих норм возлагается на него.
Поскольку статьи 6 и 9 указанного закона обязывают получить согласие работника на такую обработку информации, работодателю рекомендуется подстраховаться, заранее заручившись согласием сотрудника на подобные действия.
Форма документа
Требования к содержанию согласия на распространение персональных данных утверждены Приказом Роскомнадзора от 24.02.2021 N 18. Стоит заметить, что не нужно уведомлять Роскомнадзор о своем намерении распространять персональные данные, имея на это разрешение субъекта.
Можно ли получить одно согласие от работника, прописав в нем все возможные цели обработки/распространения?
Зачастую документ «Согласие» содержит в себе не одну цель обработки и не одно третье лицо, которому распространяется информация, а сразу несколько, что по мнению Роскомнадзора противоречит действующему законодательству.
Согласно позиции ведомства, на каждую цель и на каждое третье лицо, которому разглашается информация о физическом лице, должно быть свое согласие. Это следует из ч. 4 ст. 9, ч. 5 ст. 18 Закона от 27.07.2006 № 152-ФЗ.
В этих статьях «цель обработки» и третье лицо указаны в единственном числе, следовательно, совмещать несколько целей и несколько третьих лиц в одном документе неправомерно.
Данное правило применимо ко всем случаям, когда необходимо получить письменное согласие работника.
Судебная практика на данный момент не на стороне работодателя (Постановление от 15 января 2021 г. по делу № А40-81171/2017). В связи с этим компаниям придется оформлять большое количество согласий от работников, чтоб соблюсти нормы законодательства.
Обработка персональных данных: пошаговая инструкция для компаний
Павел, я рад, что Вы стараетесь изучать правовые вопросы о персональных данных детально! Что же, поехали! Надеюсь, что некоторые законные акты Вы сможете погуглить.
Давайте определим что такое персональные данные. Персональные данные, согласно статье 3 Федерального закона «О персональных данных» от 27.07.2006 N 152-ФЗ — это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). То есть, это данные, которые могут идентифицировать человека и позволить понять кто перед нами — Вася Петров или Иван Иванов. При этом законодатель не даёт чёткого разграничения что это такое, а определяет как некую совокупность информации. Есть, конечно Указ Президента РФ от 06.03.97 № 188 (https://zakonbase.ru/content/base/20358), где была дана некая конкретизация, но она в данном случае не очень помогает. Но мы-то с Вами сейчас найдём эту грань)
Так вот, телефон, как было сказано мной выше в комментарии по мнению Роскомнадзора не является персональными данными и это он говорит даже в лице своих территориальных подразделений в ответах на вопросы (к примеру: https://26.rkn.gov.ru/p8926/p10713/ — 5 вопрос, https://57.rkn.gov.ru/p8924/p14069/p14070/), эти позиции применяются и судами, вот, к примеру, можно посмотреть здесь: апелляционное определение СК по гражданским делам Новосибирского областного суда от 04 февраля 2021 г. по делу N 33-774/2016 или апелляционное определение Московского городского суда от 24 июля 2017 г. N 33-28957/17. Письмо Минкомсвязи России от 07.07.2017 N П11-15054-ОГ «О разъяснении норм федерального законодательства» говорит, что: «абонентский номер или адрес электронной почты могут быть признаны персональными данными в случае, когда такая информация относится к прямо или косвенно определенному или определяемому физическому лицу (абонентский номер, принадлежащий юридическому лицу, не может рассматриваться в качестве персональных данных)».
То есть, если берём номер телефона или электронную почту — всё окей, нет никаких персональных данных.
Переходим к имени. Имя не идентифицирует субъекта персональных данных. Вообще никак. Таким образом, персональными данными не является. Или просто фамилия — тоже не подлежит защите как персональные данные (Постановление Восемнадцатого арбитражного апелляционного суда от 24 сентября 2014 г. N 18АП-10690/14; Определение СК по гражданским делам Приморского краевого суда от 09 сентября 2013 г. по делу N 33-7063 (тут суд даже сказал, что «в совокупности имя, отчество, улица и номер дома не позволяют достоверно установить, о каком именно человеке идет речь на страницах форума»); обзор обращений граждан за II квартал 2012 года Управление Роскомнадзора по Республике Карелия рассмотрело вопрос, являются ли фамилия и инициалы гражданина персональными данными).
Телефон + имя — не позволят определить Вам однозначно и безошибочно (что является критерием персональных данных) человека. А вот, если добавить к телефону или электронке немного больше данных, к примеру, ФИО — всё, персональные данные готовы и подлежат защите.
Так что, да, это моё личное мнение, основанное на правоприменительной практике и требованиях законодательства 
Отзыв согласия
Работник организации в любой момент имеет право отозвать свое согласие на обработку и распространение персональных данных.
Для этого ему достаточно будет подтвердить свое решение письменным требованием в произвольной форме.
В документе следует указать:
- ФИО заявителя;
- контакты заявителя;
- ПДн, обработку и распространение которых необходимо прекратить.
Работодатель должен прекратить пользоваться информацией в течение трех рабочих дней. Иначе сотрудник имеет право обратиться в суд (п. 14 ст. 10.1 Закона № 152-ФЗ).
Не стоит забывать, что есть ПДн, на обработку которых согласие сотрудника не требуется, например, те, что нужны для исполнение трудового договора. Все остальные данные компании-работодателю стоит уничтожить.
Что такое согласие на обработку
Передавая работодателю документы, необходимые для оформления приема на работу, гражданин сразу же письменно подтверждает, что согласен на обработку своих данных. Статья 3 Закона № 152-ФЗ включает в состав таких сведений всю информацию о работнике, в том числе и о предыдущей работе.
Принято делить персональные сведения на три раздела:
- сведения общего доступа – ФИО, пол, информация о рождении гражданина;
- биометрические – относящиеся к физическому состоянию и внешним данным, которые определяются обычным осмотром;
- особые – национальная принадлежность, принадлежность к религии, наличие судимостей, состояние здоровья, дополнительная информация о прежней работе, например статья, по которой гражданин уволен.
Сведения общего доступа не являются конфиденциальными, все остальные могут обрабатываться только при получении на то согласия обладателя.
Обратите внимание! Согласие гражданина не может быть бессрочным. Давая его, работник позволяет работать с информацией до какой-либо даты либо до наступления события. Допускается и отзыв работником своего согласия (п. 4 ст. 9 Закона № 152-ФЗ).
Штрафы
Компаниям и ИП однозначно стоит уделить внимание новшествам, описанным выше, так как штрафные санкции увеличились вдвое.
Начиная с 27 марта 2021 г. за работу с ПДн сотрудников без их письменного согласия ИП ждет штраф от 20 000 до 40 000 руб., организации, при аналогичном нарушении должны будут уплатить от 30 000 до 150 000 руб.
Если же ИП нарушит законодательство повторно, то штраф будет составлять от 100 000 до 300 000 руб., а для компаний — от 300 000 до 500 000 руб. (ч. 2 ст. 13.11 КоАП). Наказание за такое правонарушение может последовать в течение года (ст. 4.5 КоАП РФ).
Подведем итог: правила обработки личных данных касаются абсолютно всех физических и юридических лиц.
В этой связи, работодателям целесообразно брать с сотрудников:
1. согласия на обработку персональных данных;
2. согласия на распространение персональных данных.
Документы составляются в соответствии с требованиями действующего законодательства.
Игнорирование правил обработки и распространения данных может привести к серьезным финансовым потерям.
Цели обработки персональных данных на предприятии
Организация обрабатывает личные данные работников в следующих целях:
- создание, заключение, выполнение и расторжение договоров гражданско-правового характера. Сюда включаются отношения и с физическими, и с юридическими лицами, а также с предпринимателями. Такие отношения регулируются законами и документами о деятельности компании;
- учет в кадровой сфере, контроль исполнения законов в общей деятельности и области гражданского права;
- осуществление делопроизводства, соответствующего требованиям закона, правильное оформление приема на работу, помощь в карьерном росте сотрудникам, применение льгот;
- правильное применение норм налогового права в области налогообложения доходов граждан и отчисления взносов в фонды, формирование данных учета и передача их в Пенсионный фонд РФ;
- ведение статистики и оформление документации, требуемой нормами налогового и трудового права.
Посмотрите видео. Как составить согласие на обработку персональных данных:
