Персональные данные работника: миллионные штрафы за утечку

Персональные данные – ключевые понятия

Работодатель сталкивается с вопросом о персональных данных постоянно.

Даже когда потенциальный сотрудник еще не работает в организации, а только направляет резюме — он уже предоставляет в распоряжение работодателя свои персональные данные. Постоянная работа с личными данными происходит при кадровом делопроизводстве — организация ежедневно коммуницирует с внешним миром, служба кадров обрабатывает огромный массив документов и во всех содержатся чьи-либо личные сведения.

Персональные данные — это любая информация, относящаяся к конкретному лицу непосредственно. Это информация, при помощи которой можно идентифицировать человека.

Получение, хранение, уточнение, корректировка и иные действия с данными — это их обработка. Обработкой персональных данных занимаются чаще всего кадровые службы.

Оператором обработки является любая организация, которая собирает и хранит данные. То есть абсолютно любая организация.

Что такое персональные данные

Ст. 3 Закона от 27.07.2006 № 152-ФЗ закрепляет понятие персональных данных: это любая информация, которая прямо или косвенно относится к конкретному физическому лицу:

Перечень характеристик человека неограничен. Идентифицировать гражданина способны и многие другие данные. А работодатель вправе рассчитывать только на те из них, которые характеризуют сотрудника как сторону трудового договора.

Правовая база

О персональных данных в российском правовом поле информируют:

• Конституция России.
• Трудовой кодекс.
• Федеральный закон «О персональных данных» №152-ФЗ.
• Кодекс об административных правонарушениях.
• Уголовный кодекс.

Конституция гарантирует, что каждый гражданин имеет право на личную, семейную или профессиональную тайну, имеет право контролировать распространение информации об этом, пресекать это распространение. Если же данные распространяются недобросовестно, то гражданин вправе рассчитывать на защиту чести и достоинства.

Трудовой кодекс говорит о том, что собирать персональные данные работника кадровик или руководитель может исключительно с ясными и адекватными целями. ТК РФ однозначно запрещает хранение избыточного количества данных «на всякий случай».

В федеральном законе №153-ФЗ отмечена необходимость соблюдения полной безопасности данных, обозначены права, обязанности и ответственность граждан и операторов обработки.

КоАП РФ и УК устанавливают ответственность за нарушение указанных норм.

Категории информации

Существует многообразие видов информации:

1. Фактическая.
2. Прогнозирующая.
3. Поясняющая (оценивающая).
4. Предположительная.
5. Нормативная.
6. Логическая.
7. Объяснительная.
8. Инструментальная.

С учётом порядка предоставления информации или ее распространения она подразделяется на ту:

• которая может свободно распространяться;
• предоставляемую по соглашению сторон, принимающих участие в соответствующих отношениях;
• которая согласно федеральным законам подлежит предоставлению или распространению;
• распространение которой в РФ ограничено или запрещено.

На основании этого можно сделать вывод, что персональные сведения относятся к четвертой категории информации.

Личные данные работника – это информация, которая предоставляется работодателю при трудоустройстве. Вся предоставленная информация подвергаются защите и обработке согласно действующего законодательства. Но вот разглашение этой информации законом запрещено и наказуемо.

Какие данные относятся к персональным

Нормативные акты устанавливают два важных понятия, которые необходимо иметь в виду руководителю и ответственному сотруднику кадровой службы, чтобы не навлечь на себя и на организацию огромные штрафы и судебные иски.

1. Избыточность.
2. Целеполагание.

То есть работодатель имеет право собирать исключительно те данные, которые необходимы для осуществления трудового процесса, и только с целью поддержания этого процесса.

Какие данные являются персональными:

• фамилия, имя, отчество;
• дата, место рождения;
• биометрия – отпечатки пальцев, ДНК, радужная оболочка глаз, рост, вес, фотографии и видео с изображением человека, если его можно там идентифицировать;
• адрес прописки или фактического жительства;
• семейное положение, состав семьи;
• биографические данные;
• профессиональная информация – образование, квалификация, должность, трудовой стаж, предыдущие места работы;
• сведения о доходах и имуществе;
• номера ИНН и СНИЛС; контакты – телефон, электронная почта;
• информация о воинской обязанности;
• медицинская информация и диагнозы.

Какие сведения считаются персональными данными

Распространенные персональные данные:

• Фамилия, имя, отчество физического лица. В этом ракурсе физлицо выступает в виде субъекта ПДн.
• Дата и место рождения.
• Адрес регистрации и проживания.

Персональные данные работника концентрируются в информационной системе (ИС). Она может быть цифровой или аналоговой (компьютерной базой или личным делом в бумажной папке). При этом законодательные требования распространяются на ПД вне зависимости от технической реализации инфосистемы. Существуют разные способы обработки личной информации физлица – сбор, классификация, уточнение и др.

Понятие ПДн относится не только к гражданам, но и к юридическим лицам вне зависимости от организационно-правовой формы (фирмы, компании, организации, коммерческие предприятия и т. д.). Их особенностью является то, что на их основе происходит идентификация не конкретного человека, а определенной компании. Официальные сведения о компании нужны при заключении договоров и т. д.

Физические лица

К персональным сведениям для этой категории субъектов относятся:

• ФИО;
• дата и место рождения;
• гражданство;
• адрес регистрации и проживания;
• решение о полной или частичной недееспособности;
• семейное положение + информация о членах семьи;
• образование;
• место работы;
• оклад, страховые и налоговые отчисления;
• воинская обязанность.

Существуют особенности отнесения разных данных к категории персональных у физических лиц:

• Номер телефона. Относится к ПДн, если информация о владельце есть в общедоступном источнике (например, на сайте депутата указаны контакты для прямого обращения).
• Верификационные параметры для авторизации на разных интернет-сервисах являются ПДн по определению и не подлежат разглашению третьим лицам.
• Фото- и видеозаписи. Относятся к ПДн только в ситуации, когда по ним можно провести идентификацию физического лица. Исключением является фото- или видеосъемка, произведенная на мероприятиях, имеющих массовый характер. Если запись порочит честь, достоинство или деловую репутацию человека, он в соответствии с частью 1 статьи 152 Гражданского Кодекса РФ может требовать опровержения.

Работники предприятия

К числу персональных сведений в этом случае относится информация, которую сотрудник должен сообщить при устройстве на работу. В основной части они совпадают с ПДн для физлица и предназначены для занесения в личное дело работника. По причине того, что сотрудник заполняет типовой бланк, в ИС могут попадать сведения, не связанные с выполнением им своей работы.

Дополнительно к личной информации физлиц персональное досье работника предприятия в обязательном порядке включает:

• должность;
• ИНН;
• заявление о приеме на работу;
• оклад;
• СНИЛС;
• трудовой стаж (+ на этом предприятии);
• справки о поощрениях и взысканиях со стороны администрации;
• информацию об использованном отпуске;
• медсправки и/или документы о диспансеризации (если это требуется условиями работы).

Работодатель не имеет права (и это прописано в законах):

1. Передавать третьим лицам личные данные без согласия самого работника (защита данных).
2. Запрашивать сведения о состоянии здоровья сотрудника без согласия. Исключением являются ситуации, когда это непосредственно связано с выполнением работником своих функций.

Обязанностью работодателя является:

• Защитить имеющиеся в его распоряжении ПД от стороннего доступа и разрешить знакомство с ними только специально уполномоченных сотрудников, предоставляя им данные в пределах их компетенции.
• Предупреждение третьих лиц, которым передается информация о работнике, что она может быть использована только для конкретных затребованных целей. Законодательством наложен запрет на несанкционированное распространение личных данных и виновные могут быть привлечены к ответственности.
• Закрепить соответствующим образом (например, подписью в специальном бланке) обязательство соблюдения конфиденциальности лицами, которым передаются ПД.

Государственные или муниципальные служащие

Помимо массива сведений, обязательного для работника предприятия, в число ПДн для этой категории тружеников входит:

• стаж + выслуга лет;
• должность;
• классный чин (если есть);
• разряд по тарифной сетке;
• ученая степень, награды, поощрения;
• допуск для работы с секретными материалами;
• справки об аттестации и повышении квалификации;
• справка о судимости;
• медсправки, копии больничных.

Юридические лица

К этой категории сведений относятся:

• наименование организации;
• юридический и фактический адрес;
• номера лицензий;
• ОГРН;
• ИНН;
• КПП;
• номер расчетного счета и другие банковские реквизиты.

Категории персональных данных

Обычно выделяют четыре категории персональных данных, хотя в законах такой классификации нет:

1. Общедоступные. ФИО, дата и место рождения, профессия, контакты могут использоваться в открытых источниках. Например, в справочниках и телефонных книгах, если субъект данных дал на это свое согласие.
2. Биометрические. Позволяют идентифицировать человека по физиологическим параметрам. Данные собираются исключительно с согласия гражданина и в обоснованных законом целях.
3. Специальные. Раса, национальность, политические и религиозные взгляды, философские воззрения и подробности интимной жизни. Обработка таких данных запрещена, кроме случаев, когда субъект согласился на это письменно или когда он сам открыто опубликовал их, сделав общедоступными.
4. Иные. Не вошедшие в эти категории.

Категории ПД

Закон № 152-ФЗ делит информацию по информативности, сложности использования и уровню раскрытия сведений. Категории персональных данных, которые нельзя использовать без согласия: обезличенные, общие и специальные, биометрические данные.

Общие личные данные о человеке

К ним относится базовые инфоматериалы о конкретном физическом лице:

• фамилия, имя, отчество;
• дата и место рождения;
• адрес регистрации и проживания;
• номер телефона;
• ИНН;
• паспортные данные – серия, дата его выдачи и др.;
• СНИЛС;
• место работы;
• размер заработной платы.

Персональные сведения, отнесенные к общему типу, зафиксированы в базовых документах гражданина (это паспорт, трудовая книжка и др.). Во многих случаях для их обработки хватает и косвенного разрешения. Такие упрощенные случаи характерны для заполнения онлайн-анкет с минимумом сведений, когда от субъекта хватит галочки в соответствующем поле вместо письменного подтверждения. Тут передача данных происходит по открытым каналам связи.

Некоторые из этих сведений не являются персональными, если используются автономно от других. Текущая позиция Роскомнадзора заключается в том, что только по одному телефонному номеру (без соотнесения его с фамилией владельца) возможность идентификации физического лица отсутствует. По этой причине неперсонифицированная SMS-рассылка не является нарушением законодательства.

• Как происходит кастрация кота
• Как лечить пиелонефрит
• Домашняя омолаживающая маска для рук

Биометрические

Сюда относятся физиологические и биологические параметры физического лица:

• дактилоскопия (отпечатки);
• группа крови;
• рост;
• вес;
• цвет глаз;
• особые приметы, связанные с внешностью (например, приобретенные увечья).

К этой же категории относятся любые аудиовизуальные файлы – фотографии конкретного физического лица, записи с диктофона, видеорегистратора и др. Развитие технологий находит широкое применение биометрическим параметрам – они используются в медицине, приеме на работу в госструктуры, оформлении загранпаспортов. Часто такие данные наносят вред субъекту в профессиональной деятельности или личной жизни.

Специальные данные

В эту категорию включены:

• национальность;
• политические предпочтения;
• вероисповедание;
• наличие судимости;
• медицинский диагноз;
• сексуальная ориентация;
• интимная жизнь.

Подобные сведения содержатся в специальных документах. Они могут быть использованы для дискриминации конкретного физического лица. По этой причине, согласно статье 10 Закона № 152-ФЗ, доступ к сведениям этого типа для общих случаев не допускается. Исключениями из этого являются ситуации, когда:

• Субъект дал письменное согласие на обработку ПД.
• Досье конкретного человека изучается для сохранения жизни/здоровья этого человека или третьих лиц, когда получение разрешения нельзя (например, пострадавший в автокатастрофе находится в коме и срочно требуется операция). Этот случай может быть распространен на все ситуации постановки диагноза и оказания услуг медицинского характера, при условии, что это осуществляется уполномоченным работником и он сохраняет профессиональную тайну.
• Эти ПДн стали публичными по инициативе лица, которому они принадлежат (например, эстрадный исполнитель дает интервью телеканалу о своей сексуальной ориентации). Сюда же относится обработка сведений в связи с осуществлением Всероссийской переписи населения или реализацией программ социальной помощи, трудового или пенсионного законодательства.
• Производится обработка персональных данных об участниках общественного объединения или религиозной организации (например, эту личную информацию могут собирать в муниципалитете или органах государственной статистики). Определяющим тут является условие нераспространение таких сведений без письменного согласия субъектов ПД.
• Извлечение необходимой личной информации связано с осуществлением конституционных прав этого физического лица или производством правосудия (по закону, это разрешено, например, сотрудникам полиции или прокуратуры). Сюда же входят ситуации исполнения законодательства об обороне, противодействию терроризму, транспортной безопасности, антикоррупционной деятельности и пр.
• Такая ситуация возникает при необходимости реализации законодательных требования об обязательных видах страхования, о гражданстве Российской Федерации и при проверке родителей, берущих на воспитание детей-сирот.

Обезличенные ПД

В соответствии с Законом № 152-ФЗ, сюда относятся сведения, соотнесение которых с конкретным человеком невозможно без уточнений. Это может быть любая из составляющих ПД, лишенная других сведений, например:

• Фамилия, имя, отчество человека, его число, месяц, год рождения, улица, номер дома и квартиры в совокупности являются персональными данными.
• Каждое из этих сведений по отдельности (например, только имя, без фамилии и другой информации) не может являться ПД.

Обезличивание является дополнительным методом защиты. К нему часто прибегают государственные органы, уполномоченные на обработку персональных сведений о гражданах, передавая массив информации на стороннее изучение. К примеру:

1. В результате переписи населения у Федеральной службы государственной статистики (Госкомстата) скапливается большое число анкет, содержащих личные данные. Это могут быть сведения о возрасте, национальности и пр.
2. Отправляя такие данные в другие ведомства для аналитического изучения по их профилю работы, сотрудники Госкомстата принимают меры для защиты ПД. Для этого личная информация лишается персонификации. Например, в Министерство социальной защиты РФ передается выборка данных о лицах, с указанием их национальности, возраста и образования, но без упоминания имени и фамилии.

Big Data

Сюда относятся сведения, поступающие в интернет от конкретного пользователя или накапливающиеся в его цифровых устройствах:

• IP-адрес компьютера;
• история просмотра страниц;
• данные авторизации на сайтах;
• никнеймы и аватары форумов или социальных сетей.

Неоднозначность этой категории в юридическом ракурсе рассмотрения связана со следующими особенностями:

• Эта информация прямо или косвенно может указывать на конкретного человека.
• Сам обладатель не может полностью контролировать их.
• При желании они могут быть фальсифицированы (например, один человек может зарегистрироваться в соцсети под именем своего знакомого и оставлять от его лица порочащие сообщения).

С учетом этих обстоятельств, не все сведения из категории Big Data являются ПДн. Если они прямо не указывают на конкретного человека, то, по мнению Роскомнадзора, они не относятся к категории ПД. Тогда на них не распространяются требования Закона № 152-ФЗ. Примеры таких сведений:

• Фото человека. Если оно сопровождается именем и фамилией, то является персональными данными, ведь указывает на конкретную личность.
• Аватар (юзерпик) и никнейм на форуме. Эти позиции не являются ПДн. Они напрямую не указывают на определенного человека. Есть исключение: когда на картинке представлено фото человека с именем, фамилией или другими сведениями.
• К категории ПД не относятся поисковые запросы пользователя компьютера и информация о его местоположении, которые обрабатываются для предоставления ему контекстной рекламы и геотаргетинга (выдачи данных в зависимости от географического расположения физического лица).

Как собирать, систематизировать и хранить персональные данные

Шаг 1. Выпустить положение о персональных данных. Этого требуют и федеральный закон, и здравый смысл. В локальном акте нужно прописать все правила хранения и обработки данных.

Шаг 2. Утвердить положение. Для этого нужно выпустить соответствующий приказ с подписью руководителя и ознакомить с ним всех сотрудников. Сотрудники должны расписаться в специальном журнале или ведомости.

Шаг 3. Назначить специалиста, ответственного за персональные данные. Вероятнее всего, это будет сотрудник кадровой службы. Желательно, чтобы работа с персональными данными была указана в его трудовом договоре. Если же договор уже составлен, можно выпустить дополнительное соглашение к нему. В том же приказе нужно установить сотрудников, которые будут иметь доступ к персональным данным. Все упомянутые лица должны подписать обязательство о неразглашении данных.

Шаг 4. Собрать со всех сотрудников письменные согласия на обработку персональных данных. В письменном согласии должны быть перечислены конкретные данные и цели их использования. Цели должны сводиться исключительно к поддержанию трудового процесса.

Шаг 5. Хранить данные в строгом порядке. Данные могут храниться и в электронном виде, и в бумажном. Они должны быть абсолютно недоступными для третьих лиц, своевременно пополняться и при необходимости корректироваться.

Шаг 6. Обратиться в Роскомнадзор. Этот пункт не обязателен, если вы:

• обрабатываете информацию без использования специализированного ПО и баз данных (то есть если массив данных оператор обрабатывает вручную на ПК или на бумаге);
• обрабатываете данные только своих сотрудников и только в целях составления и ведения трудовых договоров (не более);
• оформили договор с физическим лицом как подрядчиком, поставщиком или нештатным специалистом;
• однократно пропустили постороннего человека, не являющегося вашим сотрудником, на территорию предприятия (например, для собеседования).

Обработка персональных данных

В организации необходимо разработать и утвердить локальный нормативный акт, устанавливающий порядок обработки информации о работниках. Каждого сотрудника знакомят с этим документом под подпись.

Судебная практика

Прокурор обратился в суд с иском о понуждении организации к разработке и принятию локального правового акта, устанавливающего порядок хранения и использования персональных данных работников. Требования мотивировал тем, что в ходе проверки исполнения законодательства, регламентирующего сбор, хранение, использование или распространение персональных данных, было установлено, что в нарушение требований трудового законодательства порядок хранения и использования персональных данных работников в организации не разработан. Полагал, что отсутствие этого локального нормативного акта может привести к неправомерному доступу к персональным данным не уполномоченных на то лиц.

Решением суда требование прокурора было удовлетворено. Суд обязал организацию разработать и принять локальный правовой акт, устанавливающий порядок хранения и использования персональных данных работников в течение 30 дней с момента вступления решения суда в законную силу.

Передача персональных данных работника другому лицу допускается только с согласия этого работника, за исключением случаев, установленных законом. Например, работодатель вправе передавать сведения о работнике по официальным запросам суда, прокуратуры, органов следствия и дознания.

ВАЖНО!

Сообщать какую-либо информацию о сотруднике по телефону недопустимо.

Судебная практика

Д. обратился в суд с иском о признании незаконной передачу работодателем его персональных данных другому лицу, взыскании морального вреда.

В судебном заседании было установлено, что организация, в которой работал Д., заключила договор с банком для реализации зарплатного проекта. Для выпуска пластиковых карт банку были переданы заполненные и подписанные работниками анкеты-заявления с их личными данными. Анкета-заявление Д. им подписана не была, согласие на передачу своих персональных данных он не давал.

Исковые требования судом были удовлетворены, несмотря на то, что полученной пластиковой карточкой Д. активно пользовался.

Ответственность за разглашение персональных данных

Велики риски, связанные с неправильным или небезопасным хранением данных. Если организация что-то сделает не так, она навлечет на себя ревизии, проверки, административное производство или уголовный процесс.

Административная ответственность

До 75 тысяч рублей штрафа работодатель может заплатить за:

• сбор и обработка избыточной информации;
• отсутствие согласия работника на обработку данных;
• доступ третьих лиц к персональным данным сотрудников;
• игнорирование просьб работника об удалении его персональных данных (например, после его увольнения).

Уголовная ответственность

По статье 137 УК РФ:

• Разглашение данных работника в публичном пространстве, публикация в СМИ сведений, составляющих его личную или семейную тайну. Штраф до 200 тысяч рублей, лишение свободы до 2 лет и запрет занимать определенные должности — до 3 лет.
• То же самое, с использованием служебного положения — штраф до 300 тысяч рублей, лишение свободы до 5 лет и запрет занимать соответствующую должность — до 6 лет.

Определение понятия

Информация о трудящемся

Что такое персональные данные? Это информация, которую требует работодатель с конкретного работника при заключении трудовых отношений (гл.14 ТК РФ). Согласно ст.3 Федерального Закона, личные данные – это любые сведения, которые относятся к физическому лицу, его ФИО, время и место рождения, адрес, имеющееся имущество, семейное положение, образование, доходы и прочее.

Обработка

Обработка индивидуальных сведений трудящегося– это процесс получения, хранения, комбинирования, передачи персональных сведений, а также другие варианты их применения.

Более детально о порядке хранения и использования персональных данных работников на бумажных и электронных носителях читайте тут, а подробнее о документах о персональных данных работников узнайте в этом материале.

Обработка может производиться исключительно для обеспечения соблюдения законов и прочих нормативных правовых актов, содействия трудящемуся в трудоустройстве, обучении и продвижении по карьерной лестнице, обеспечения столичной безопасности, а еще контроля количества и качества осуществляемой им работы и обеспечения сохранности имущества (п. 1 ст. 86 ТК РФ).

Согласно п. 3 ст. 3 ФЗ «О персональных данных» обработка личной информации — это действия, совершаемые с индивидуальными данными. Что к ним относится:

• сбор;
• систематизация;
• накопление;
• хранение;
• уточнение (обновление, изменение);
• использование;
• распространение (передачу);
• обезличивание;
• блокирование;
• удаление.

Важно! Независимо от количества перечисляемых в законодательстве функциональных операцией правовое регулирование должно распространятся на все стадии обработки личной информации: от получения до удаления без каких-либо исключений и изъятий.

Подробнее о то, как заполнить заявление на обработку и на другие операции с персональными данными работника, читайте тут, а более детально о том, когда требуется письменное согласие работника на обработку его персональных данных и как оформить этот документ, узнайте в этом материале.

Защита

Для определения защиты индивидуальной информации работника стоит рассмотреть этот процесс в нескольких аспектах:

1. Это гарантии, которые закреплены в трудовом праве (перечень норм, за счет которых происходит регулирование отношений относительно личных сведений трудящегося).
2. Это ряд процессов организационно-правового характера, которые направлены на реализацию законодательных положений и выражающих политики работодателя в этой сфере.
3. Это обеспечение субъективного права трудящегося на защиту своей личной информации.

Более детально о том, что такое положение о защите персональных данных работника, читайте тут.

Требования к защите

Глава 14 Трудового кодекса предусматривает требования, касающиеся защиты данных. Устанавливается обязанность руководителя во время обработки информации учитывать требования. Целью обработки выступает обеспечение законных положений и содействие человеку в устройстве на работу. Чтобы определить объем сведений, требуется руководствоваться основным законом страны, ТК.

Получение информации допускается только от самого сотрудника. Когда получить ее можно у третьего лица – человек должен заранее сообщить об этом руководству компании. Потребуется подписать согласие. Работодателем не обрабатываются данные, отнесенные к группе специальных. Это сведения об интимной жизни, расе и т. п.

Меры по защите информации принимаются руководством компании. Оплачиваются средствами предприятия. Порядок защиты отражается в законах. Ознакомление сотрудников с документацией, отражающей порядок сбора данных, проводится под подпись.

Установлено, что человек не должен лишаться своих правомочий для того, чтобы сохранить тайну. Выработка мер по защите осуществляется работодателями вместе с сотрудниками. Исключительные ситуации отражаются в законах.

Субъекты и операторы

В законе есть две сущности: субъект и оператор ПДн.

Субъектом персональных данных считается человек, чьи персональные данные обрабатывает оператор ПДн.

Субъект — это физическое лицо: владелец аккаунта в соцсети, посетитель сайта или покупатель в магазине. Например, клиент интернет-магазина заказал ноутбук, а чтобы его получить, выбрал курьерскую доставку, оставив фамилию, имя, адрес и телефон. По этим данным можно определить личность покупателя (субъекта ПДн), а магазин таким образом становится оператором.

Оператор — это физическое лицо или организация (государственная или частная), которая организует обработку и обрабатывает ПДн, а также определяет цели обработки, состав данных и совершаемые с ними действия.

Например, операторами становятся работодатели, когда соприкасаются с личными данными сотрудников. Даже если сотрудник всего один — работодатель уже оператор.

Работа с персональными данными

Сбор, обработка и хранение персональных сведений сотрудников организуются по следующему алгоритму:

В ходе обработки персональных сведений обеспечивается их недоступность третьим лицам и своевременная корректировка.

Работодатель не вправе обращаться к предыдущему нанимателю сотрудника с целью узнать, насколько правдива информация, представленная в резюме соискателя (нарушается ст. 7 Закона № 152-ФЗ). Это можно делать лишь с согласия проверяемого лица.