Правовое регулирование защиты персональных данных работника

Содержание

Вариант 6. Правовое регулирование защиты персональных данных     работника.

Введение                                                                                                                                                                         3

1. Общая характеристика сведений, составляющих персональные данные работника и сведения, не отнесенные к персональным данным работника               4

2. Практические вопросы общих требований и условий хранения, обработки, использования и передачи персональных данных работников                                          8

3. Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных работника                                                                                                          14

Заключение                                                                                                                                                    19

Список литературы                                                                                                                                      20

Введение

В наше время общество всецело зависит от получаемых, обрабатываемых и передаваемых данных. По этой причине данные сами по себе приобретают высокую ценность. И тем больше цена полезной информации, чем выше ее сохранность.

Особой ценностью обладает информация, несущая в себе данные о личной, индивидуальной или семейной жизни человека. Ст.2 Конституции Российской Федерации закрепляет основной принцип современного демократического общества: «Человек, его права и свободы являются высшей ценностью». Соответственно и информация, непосредственно затрагивающая частные интересы человека должны уважаться и защищаться государством.

В повседневной жизни человека сохранность информации о его жизни зависит от него самого. Но совсем другая ситуация, когда мы обязаны предоставить данные о себе в соответствии с законом третьему лицу, а конкретно – работодателю. Работник в данной ситуации передает конфиденциальную  информацию о себе на ответственное хранение. Далее за сохранность данных отвечает уже работодатель.

1. Общая характеристика сведений, составляющих персональные      данные работника и сведения, не отнесенные к персональным данным      работника.

В Трудовом кодексе под персональными данными работника понимается информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного работника (ч.1 ст.85 ТК РФ). Принципиальным требованием правил работы с персональными данными является установление личной ответственности сотрудников за неразглашение доверенной им конфиденциальной информации, за сохранность сведений, а также их носителей. В этой связи лицо, получившее право работать с персональными данными, должно принять на себя ряд обязательств: не разглашать доверенные им сведения, неукоснительно выполнять правила работы с персональными данными, обеспечивать надежное хранение носителей конфиденциальной информации.

Также следует незамедлительно сообщать уполномоченным лицам об утрате ключей, печатей и штампов, давать устные и письменные объяснения по фактам нарушения правил. В число ограничений входят также запреты на совершение определенных действий, могущих повлечь утрату носителей информации или разглашение конфиденциальных сведений, в частности, на передачу персональных данных лицам, не имеющим к ним доступа; на вынос документов из рабочего помещения без служебной необходимости и пр. Перечень указанных обязательств целесообразно отразить в Положении либо должностной инструкции специалиста.

К персональным данным относят следующие сведения - сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность (персональные данные), за исключением сведений, подлежащих распространению в средствах массовой информации в установленных федеральными законами случаях[1].

Персональные данные – это особый вид конфиденциальной информации, требующей определенные правила работы с такой информацией.

Персональными данными признается любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация[2]. Разглашение сведений, составляющих персональные данные, является важным аспектом деятельности организации, так как за разглашение персональных данных предусмотрены различные меры ответственности.

В настоящее время законодательно определить весь перечень сведений, входящих в состав персональных данных, защищаемых в сфере трудовых правоотношений, практически невозможно. Действительно, "персональные данные работника предназначены главным образом для его специальной идентификации как человека, имеющего и реализующего определенную трудоспособность". Лицо, вступающее в трудовые отношения, может предоставлять многогранную и многоплановую информацию о себе, и эта информация может касаться не только трудовых правоотношений, она может носить универсальный характер.

В российском законодательстве крайне мало императивных норм, за пределы которых нельзя выйти даже при желании сторон. Прямые запреты, касающиеся сбора информации о работнике, сводятся к следующему:

      работодатель не имеет права получать и обрабатывать персональные данные работника о его политических, религиозных и иных убеждениях, частной жизни в случаях, непосредственно не связанных с вопросами трудовых отношений (в соответствии со ст.24 Конституции РФ работодатель может получать и обрабатывать данные о частной жизни работника только с его письменного согласия);

      работодатель не вправе получать и обрабатывать персональные данные работника о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных федеральным законом.

Некоторые юристы считают, что все сведения о работнике условно можно разделить на две категории: персональные данные (которые работодатель вправе собирать) и информация о частной жизни (которую работодатель собирать не вправе). Существует и другое мнение - разделить их на три категории: персональные данные (которые работодатель вправе собирать и в отношении которых он должен соблюдать режим работы с персональными данными), сведения о публичной жизни (которые работодатель вправе собирать, но в отношении которых он не должен соблюдать режим работы с персональными данными), информация о частной жизни (которую работодатель собирать не вправе).

Учитывая отсутствие в законодательстве определения понятия ”частная жизнь”, вряд ли кто-либо сможет однозначно ответить, являются ли сведения о хобби, вкладах в банке, наличии недвижимости и другая информация о частной жизни работника (которую работодатель не вправе собирать) свидетельствами о его публичной жизни (которыми работодатель может поинтересоваться) или персональными данными работника.

Для трудовых правоотношений характерно, что персональные данные включают в себя информацию, которая позволяет работодателю привлечь работника для эффективного выполнения трудовой функции. Она может содержаться в документах, предоставляемых работником при приеме на работу:

- в документе, удостоверяющем личность работника;

- в трудовой книжке работника;

- в страховом свидетельстве государственного пенсионного страхования;

- в документах воинского учета (при их наличии);

- в документах об образовании, квалификации или наличии специальных знаний или подготовки;

- в документах медицинского характера;

- в иных документах, содержащих сведения, необходимые для определения трудовых отношений, в том числе предоставляемых дополнительно работником по собственной инициативе (резюме, справки, грамоты, дипломы лауреатов различных конкурсов и т.п.); в различных приказах по персоналу, материалах служебных проверок и расследований, докладных и аналитических записках.

Большая часть таких материалов содержится в личном деле, которое складывается из различного рода документации. При прохождении гражданином при устройстве на работу в организацию психологических тестирований тоже должен быть установлен режим защиты персональных данных в части их результатов и сведений, сообщенных в ходе проведения подобных мероприятий.

Среди персональных данных работника должны быть трудовой договор, приказ (распоряжение) о приеме на работу, приказы (распоряжения) об изменении условий трудового договора, его прекращении, а также приказы (распоряжения) о поощрениях и дисциплинарных взысканиях, примененных к работнику. В период действия трудового договора среди персональных данных работника должна находиться его трудовая книжка[3]. При работе с персональными данными сотрудниками отделов кадров должны соблюдаться следующие основополагающие принципы по их защите:

      личная ответственность руководства предприятия и работников отдела кадров за сохранность и конфиденциальность сведений о работе отдела и персональных данных, а также о носителях этой информации;

      разбиение (дробление) персональных данных между разными руководителями предприятия и работниками отдела кадров;

      наличия четкой разрешительной системы доступа руководства предприятия и работников отдела кадров к документам, содержащим персональные данные;

      проведения регулярных проверок наличия традиционных и электронных документов, дел и баз данных у работников отдела и кадровых документов в подразделениях предприятия.

Главным здесь является четкая регламентация функций работников отдела кадров по разным видам документов, дел, карточек, журналов персонального учета и баз данных. Посторонние лица не должны знать распределение этих функций, рабочие процессы, технологию составления, оформления, ведения и хранения документов, дел и рабочих материалов в отделе кадров. Под посторонними лицами понимаются не только злоумышленники или их сообщники, но и сотрудники предприятия, функциональные обязанности которых не связаны с работой отдела кадров. Следует также учитывать, что работник отдела кадров не должен быть осведомлен о порядке работы других сотрудников отдела.

Должна быть схема доступа работников отдела кадров и руководящего состава предприятия, структурных подразделений к документам отдела, введена личная ответственность указанных должностных лиц и работников за сохранность и конфиденциальность персональных данных.

Не допускается, чтобы работник отдела кадров мог знакомиться с любыми документами и материалами отдела.

2. Практические вопросы общих требований и условий хранения, обработки, использования и передачи персональных данных работников.

1. Хранение и использование персональных данных работника.

Для обеспечения хранения ПДР необходимо:

1.1. Издание приказа или распоряжения о закреплении за работниками Отдела определенных массивов документов, необходимых им для информационного обеспечения функций, указанных в должностных инструкциях этих работников, утверждение схемы доступа работников Отдела и руководящего состава Общества, структурных подразделений к документам Отдела; устанавливается: кто, когда, какие сведения и с какой целью может запрашивать в Отделе, организация приема посетителей порядок дальнейшего хранения сведений, работа с которыми закончена: где эти сведения будут храниться, кто несет ответственность за их сохранность и конфиденциальность.

1.2. В часы приема посетителей работники Отдела не должны выполнять функции, не связанные с приемом, вести служебные и личные переговоры по телефону. На столе работника, ведущего прием, не должно быть никаких документов, кроме тех, которые касаются данного посетителя.

1.3. Не допускается отвечать на вопросы, связанные с передачей ПДР по телефону. Ответы на письменные запросы других учреждений и организаций даются в письменной форме на бланке Общества.

1.4. При выдаче справки с места работы необходимо удостовериться в личности работника, которому эта справка выдается. Не разрешается выдавать ее родственникам или сослуживцам лица, которому требуется справка (за исключением случаев предоставления нотариально заверенной доверенности). За получение справки работник Общества расписывается в журнале учета выдачи справок.

1.5. В Отделе дела, картотеки, учетные журналы и книги учета хранятся в рабочее и нерабочее время в металлических запирающихся шкафах. Работникам не разрешается при выходе из помещения оставлять какие-либо документы на рабочем столе или оставлять шкафы незапертыми.

1.6. На рабочем столе работника должен всегда находиться только тот массив документов и учетных карточек, с которым в настоящий момент он работает. Другие документы, дела, карточки, журналы должны находиться в запертом шкафу. Исполняемые документы не разрешается хранить в россыпи. Их следует помещать в папки, на которых указывается вид производимых с ними действий.

1.7. В конце рабочего дня все документы, дела, листы бумаги и блокноты с рабочими записями, инструктивные и справочные материалы должны быть убраны в металлические шкафы, сейфы. На рабочем столе не должно оставаться ни одной бумажки. Черновики и редакции документов, испорченные бланки, листы со служебными записями в конце рабочего дня уничтожаются в специальной бумагорезательной машине.

1.8. Сдачу на охрану и снятие с охраны помещений Отдела осуществляют работники Отдела.

1.9. Уборка помещений допускается только в присутствии сотрудников Отдела.

1.10. Материалы, связанные с анкетированием, тестированием, проведением собеседований с кандидатами на должность, имеют гриф «Строго конфиденциально». Материалы с результатами тестирования работающих работников, материалы их аттестаций, также имеют гриф строгой конфиденциальности.

1.11. Личное дело должно обязательно иметь опись документов, включенных в дело. Листы дела нумеруются в процессе формирования дела. Все новые записи в дополнении к личному листку по учету кадров и учетных формах заверяются росписью работников Отдела.

1.12. В случае изъятия из личного дела документа в описи дела производится запись с указанием основания для подобного действия и нового местонахождения документа. С документа, подлежащего изъятию, снимается копия, которая подшивается на место изъятого документа. Отметка в описи и копия заверяются росписью работника Отдела. Замена документов в личном деле кем бы то ни было запрещается. Новые, исправленные документы помещаются вместе с ранее подшитыми.

1.13. Личные дела могут выдаваться на рабочие места Директора Общества, начальника Отдела и инспектора по кадрам. Передача личных дел руководителям через секретаря не допускается. Другие руководители Общества могут знакомиться с личными делами подчиненных им сотрудников в помещении Отдела под наблюдением работника, ответственного за сохранность и ведение личных дел. Сотрудник Общества имеет право знакомиться только со своим личным делом и трудовой книжкой, учетными карточками, отражающими его персональные данные.

1.14. При возврате дела тщательно проверяется сохранность документов, отсутствия повреждений, включения в дело других документов или подмены документов. Просмотр дела производится в присутствии руководителя.

1.15. Трудовые книжки всегда хранятся отдельно от личных дел в закрытом сейфе.

1.16. Строгому контролю подлежит также работа со справочно-информационным банком данных по персоналу Общества.

1.17. На документах, выходящих за пределы Отдела, может ставиться гриф «Конфиденциально» или «Для служебного пользования». В Отделе обязательно остаются копии всех отчетных и справочных документов.

1.18. В структурных подразделениях Общества могут быть следующие документы, содержащие ПДР: журнал табельного учета с указанием должностей, фамилий, инициалов сотрудников (находится у работника, ведущего табельный учет, табельщика), штатное расписание (штатный формуляр) подразделения, в котором дополнительно может указываться, кто из сотрудников занимает ту или иную должность, вакантные должности (находится у руководителя подразделения), дело с выписками из приказов по личному составу, касающимися подразделения. Руководитель подразделения может иметь список сотрудников с указанием основных биографических данных каждого из них (год рождения, местожительство, домашний телефон и т.п.). Все перечисленные документы следует хранить в соответствующих делах, включенных в номенклатуру дел, имеющих гриф ограничения доступа.

Условия сбора и обработки персональных данных.

1. Обработка персональных данных может осуществляться оператором при наличии хотя бы одного из следующих условий:

1) субъект персональных данных дал свое согласие на ее проведение;

2) персональные данные обрабатываются на основании закона, предусматривающего такую обработку, устанавливающего ее цель, условия получения персональных данных и субъектов, персональные данные которых подлежат обработке;

3) персональные данные обрабатываются для статистических целей с их обязательным обезличиванием;

4) обработка персональных данных необходима для защиты жизни и здоровья субъекта персональных данных;

5) обрабатываемые персональные данные относятся к общедоступной информации.

2. Обработка персональных данных должна осуществляться собственником информационной системы персональных данных. Собственник информационной системы персональных данных вправе на основании договора поручить обработку персональных данных оператору при условии обеспечения конфиденциальности персональных данных, подвергающихся обработке. Требование о конфиденциальности персональных данных является условием договора об оказании услуг по обработке персональных данных[4].

2. Общие требования при обработке ПДР.

В целях обеспечения прав и свобод человека и гражданина работодатель и его представители при обработке ПДР обязаны соблюдать следующие требования:

2.1. Обработка ПДР может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества.

2.2. При определении объема и содержания обрабатываемых ПДР работодатель должен руководствоваться Конституцией РФ, Трудовым кодексом РФ и иными ФЗ.

2.3. Все ПДР следует получать от самого работника. Если ПДР можно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Работодатель должен сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение.

2.4. Работодатель не имеет права получать и обрабатывать ПДР о его политических, религиозных и иных убеждениях и частной жизни. В случаях, связанных с вопросами трудовых отношений, в соответствии со статьей 24 Конституции РФ работодатель вправе получать и обрабатывать данные о частной жизни работника только с его письменного согласия.

2.5. Работодатель не имеет права получать и обрабатывать ПДР о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных федеральным законом.

2.6. Персональные данные не могут быть использованы в целях причинения имущественного или морального вреда гражданам, затруднения реализации прав и граждан РФ.

2.7. При принятии решений, затрагивающих интересы работника, работодатель не имеет права основываться на ПДР, полученных исключительно в результате их автоматизированной обработки или электронного получения.

2.8. Защита ПДР от неправомерного их использования или утраты должна быть обеспечена работодателем за счет его средств в порядке, установленном ФЗ.

2.9. Работники и их представители должны быть ознакомлены под расписку с документами организации, устанавливающими порядок обработки ПДР, а также об их правах и обязанных в этой области.

2.10. Работники не должны отказываться от своих прав на сохранение и защиту тайны.

2.11. Работодатели, работники и их представители должны совместно вырабатывать меры защиты ПДР.[5]

3.Передача ПДР

При передаче ПДР работодатель должен соблюдать следующие требования:

3.1. Не сообщать ПДР третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровья работника, а также в случаях, установленных федеральным законом.

3.2. Не сообщать ПДР в коммерческих целях без его письменного согласия.

3.3. Предупредить лиц, получающих ПДР, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие ПДР, обязаны соблюдать режим секретности (конфиденциальности).

3.4. Осуществлять передачу ПДР в пределах Общества в соответствии с локальными нормативными актами, с которыми работник должен быть ознакомлен под расписку.

3.5. Передаваемые руководителям отчетные и справочные сведения обязательно документируются в виде сводок, справок и т.п. Устное сообщение сведений, как правило, использоваться не должно, за исключением случаев, когда запрашивается единичная информация (дата рождения сотрудника, какой вуз окончил и т.п.).

3.6. Не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции.[6]

3. Ответственность за нарушение норм, регулирующих обработку и      защиту персональных данных работника.

Статья 90 ТК РФ предусматривает ответственность за нарушение норм, регулирующих получение, обработку и защиту персональных данных работника. Нарушитель может нести дисциплинарную, административную, гражданско-правовую и уголовную ответственность.

Уголовная ответственность

Самая строгая. Статья 137 УК РФ предусматривает наказание за незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную и семейную тайну. Уголовная ответственность грозит в том случае, если эти действия совершены намеренно, из корыстной или иной личной заинтересованности и повлекли за собой нарушение законных прав и свобод граждан. Причем наказание ужесточается, если виновный использовал свое служебное положение.

Нарушение неприкосновенности частной жизни (ст. 137 УК) может выражаться в:

а) незаконном собирании сведений о частной жизни;

б) незаконном их распространении;

в) незаконном их распространении в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации.

Закон не связывает ответственность за незаконное распространение сведений о частной жизни лица с конкретным способом распространения. Под распространением имеется в виду любая незаконная передача указанных сведений третьим лицам. Незаконным распространением является разглашение личной или семейной тайны лицом, обязанным ее хранить в силу своей профессии.

Обязательным элементом объективной стороны преступления, предусмотренного ст. 137 УК, является причинение вреда правам и законным интересам граждан. Характер вреда закон не ограничивает. Он может быть:

а) материальным (имущественным), например потеря хорошо оплачиваемой работы, срыв выгодной сделки, иные убытки в предпринимательской деятельности;

б) физическим (телесным), например заболевание от пережитого;

в) моральным, например распад семьи, подрыв репутации.

Установление наличия вреда правам и законным интересам потерпевшего производится в каждом конкретном случае с учетом индивидуальных особенностей личности и ситуации.

Нарушение неприкосновенности частной жизни считается оконченным преступлением только с момента причинения соответствующего вреда (материальный состав).

Субъективная сторона данного преступления характеризуется прямым умыслом. Ответственность по ч. 1 ст. 137 УК несет любое физическое вменяемое лицо, достигшее 16 лет (общий субъект), а по ч. 2 ст. 137 УК - должностное лицо либо служащий государственного или муниципального учреждения, использующий для совершения преступления свое служебное положение (специальный субъект).[7]

Административная ответственность

Административные штрафы. Нарушение правил работы с персональными данными может повлечь административную ответственность работодателя или его представителей. Кодекс РФ об административных правонарушениях содержит на этот счет две статьи.

Статья 13.11 предусматривает ответственность в виде предупреждения или наложения штрафа на работодателя за нарушение установленного порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных). Вина в совершении данного правонарушения может быть как умышленной, так и неосторожной.[8]

Ввиду того, что персональные данные - один из видов охраняемой законом тайны, защита ее конфиденциальности предусмотрена также статьей 13.14 КоАП РФ. Если лицо, получившее доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей, разгласило сведения, составляющие персональные данные.

Вина в совершении данного правонарушения может быть как умышленной, так и неосторожной.

Дисциплинарная ответственность

Дисциплинарная ответственность кадровика. В отношении сотрудника-кадровика работодатель вправе применить одно из дисциплинарных взысканий, предусмотренных статьей 192 Трудового кодекса РФ: замечание, выговор, увольнение.

Как и любое другое правонарушение, дисциплинарный проступок обладает совокупностью признаков: субъект, субъективная сторона, объект, объективная сторона.

Субъектом дисциплинарного проступка может быть гражданин, состоящий в трудовых правоотношениях с конкретной организацией и нарушающий трудовую дисциплину. Субъективной стороной дисциплинарного проступка выступает вина со стороны работника. Может быть в форме умысла или по неосторожности. Объект дисциплинарного проступка - внутренний трудовой распорядок конкретной организации. Объективной стороной здесь выступают вредные последствия и прямая связь между ними и действием (бездействием) правонарушителя.

В соответствии с заключенным трудовым договором работодатель вправе требовать от работника выполнения трудовых обязанностей. Согласно ст. 192 Кодекса работодатель имеет право, но не обязан привлекать к дисциплинарной ответственности работника, совершившего дисциплинарный проступок. Разглашение может быть совершено среди коллег, знакомых, родственников и других лиц, не имеющих законного доступа к ним. Кроме разглашения основными видами нарушений правил работы с персональными данными являются незаконное получение или использование сведений, составляющих персональные данные, и утрата материальных носителей, содержащих данную информацию. Увольнение работника может быть осуществлено только за разглашение персональных данных.