Защита персональных данных работников

ЗАЩИТА  ПЕРСОНАЛЬНЫХ ДАННЫХ РАБОТНИКОВ

Актуальность проблемы регулирования защиты персональных данных работников заключается в том что, рассматривается порядок работы с конфиденциальными сведениями о работнике, способы их защиты, а также ответственность работодателя за невыполнение обязательств по обеспечению сохранности персональных данных.

Основополагающие  нормы, регулирующие отношения по поводу персональных данных, содержатся в  Федеральном законе «О персональных данных»[1]. В соответствии с п. 1 ст. 3 этого Закона персональными данными является любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.

В соответствии с ч. 1 ст. 85 Трудового Кодекса[2] РФ под персональными данными работника понимается информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного работника. Оценочный характер данного определения отражает лишь общий подход законодателя к категории персональных данных работника. Работодатель может собирать и обрабатывать не любую информацию о лице, являющемся его работником, а лишь ту, которая непосредственно связана с его трудовым правоотношением.

В науке трудового  права исследованиями проблем защиты персональных данных занимались Н.Л. Лютов[3], Е. Овсянникова[4], Н.И. Петрыкина[5].

Защиту персональных данных работника можно рассматривать в нескольких аспектах. Во-первых, это гарантии, закрепленные в трудовом праве, которое представляет собой совокупность норм, регулирующих отношения по поводу персональных данных работника. Во-вторых, это система мероприятий организационно-правового характера, направленных на реализацию законодательных положений и выражающих политику работодателя в данной сфере. В-третьих, это обеспечение субъективного права работника на защиту своих персональных данных.

Информационные отношения возникают как между работником и работодателем, так и между каждым из них и третьими лицами. Отношения между работником и работодателем являются основными информационными отношениями. Работник не только обязан предоставлять сведения о себе, но и имеет право получать достоверную информацию об условиях труда и о требованиях охраны труда на рабочем месте (ст. 21 Трудового Кодекса РФ). Каждый работник имеет право на получение от работодателя достоверной информации об условиях и охране труда на рабочем месте, о существующем риске повреждения здоровья, а также о мерах по защите от воздействия вредных и (или) опасных производственных факторов (ч. 3 ст. 219 ТК РФ). Работодатель обязан предоставлять представителям работников полную и достоверную информацию, необходимую для заключения коллективного договора, соглашения и контроля за их выполнением (ст. 22 ТК РФ).

Определенные  нормы отечественного кодифицированного  закона о труде регулируют отношения  по поводу конфиденциальной информации. Согласно ч. 3 ст. 57 ТК РФ в трудовом договоре могут предусматриваться условия о неразглашении охраняемой законом тайны (государственной, служебной, коммерческой и иной). Работодатель имеет право расторгнуть трудовой договор в случаях разглашения работником охраняемой законом тайны, ставшей известной ему в связи с исполнением им трудовых обязанностей, прекращения допуска к государственной тайне, если выполняемая работа требует допуска к государственной тайне (подп. «в» п. 6 ст. 81 ТК РФ). На работника возлагается материальная ответственность в полном размере причиненного ущерба в случае разглашения сведений, составляющих охраняемую законом тайну. В соответствии с ч. 8 ст. 37 ТК РФ участники коллективных переговоров, другие лица, связанные с велением коллективных переговоров, не должны разглашать полученные сведения, если эти сведения относятся к охраняемой законом тайне. Лица, разгласившие указанные сведения, привлекаются к дисциплинарной, административной, гражданско-правовой, уголовной ответственности в установленном законодательством порядке. Персональные данные гражданина в соответствии с действующими нормативными актами относятся к сведениям конфиденциального характера. Поэтому положения ТК РФ по поводу охраняемой законом тайны также относятся к персональным данным работника.

Право на защиту персональных данных предоставлено каждому работнику безотносительно к размеру его вклада в достижение организацией поставленных задач. Поэтому согласно п. 9 ст. 86 ТК РФ работники не должны отказываться от своих прав на сохранение и защиту тайны.

При определении  объема и содержания обрабатываемых персональных данных работника работодатель должен руководствоваться Конституцией РФ, ТК РФ и иными федеральными законами (п. 2 ст. 86 ТК РФ). В своей деятельности работодатель использует документы двух видов. Первую группу документированной информации представляет работник при заключении трудового договора, к ним относятся: паспорт или иной документ, удостоверяющий личность; трудовая книжка; страховое свидетельство государственного пенсионного страхования; документы воинского учета; документы об образовании, о квалификации или наличии специальных знаний; иные документы, необходимость предъявления которых предусмотрена законодательством. Перечисленные документы содержат фотоизображение работника, информацию об имени, фамилии, отчестве, дате и месте рождения, состоянии в браке, составе семьи, месте регистрации, отношении к воинской службе, гражданстве, времени, месте получения образования, специальности работника.

Документы второй группы работодатель формирует самостоятельно. В подзаконных актах она обозначается как «первичная учетная документация по учету труда и его оплаты». К ним относятся приказы (распоряжения) о приеме, перемещении работника, расторжении трудового договора с ним, поощрении работника, а также личная карточка работника, документы по расчетам с персоналом по оплате труда. Помимо сведений, дублирующих положения первой группы документов, они содержат информацию об общем и непрерывном стаже работы, датах приема и переводов на другую работу, структурном подразделении, решении аттестационной комиссии, повышении квалификации, профессиональной переподготовке, поощрениях и наградах работника, сроках и видах отпусков, социальных льготах, на которые работник имеет право. Трудовая книжка работника может относиться как к первой, так и ко второй группе документов. Это зависит от того, имеется она у работника до возникновения трудовых отношений с данным работодателем.

Конфиденциальность, сохранность  и защита персональных данных в отделе кадров обеспечивается отнесением их к служебной тайне. Работа с персональными данными должна быть организована в строгом соответствии с требованиями к обработке и хранению информации ограниченного доступа. Режим конфиденциальности персональных данных снимается в случаях обезличивания их или по истечении 75 – лет срока хранения, если иное не определено законом.

Персональные данные, которые содержатся в документации отдела кадров:

¾    документы, связанные  с подбором персонала;

¾    документы, сопровождающие процесс оформления трудовых правоотношений  гражданина (при решении вопросов о приеме на работу, переводе, увольнении и т.п.);

¾    материалы  анкетирования, тестирования, проведения собеседований с кандидатами  на должность;

¾    трудовые договоры, соглашения, уста­навливающие взаимоотношения сторон;

¾    подлинники и  копии приказов по личному составу;

¾    личные дела и трудовые книжки сотрудников;

¾    дела, содержащие основания к приказам по личному  составу;

¾    дела, содержащие материалы по повыше­нию квалификации и переподготовке со­трудников, их аттестации, служебным рас­следованиям и т.п.;

¾    справочно-информационный банк дан­ных по персоналу - учетно-справочный ап­парат (картотеки, журналы, базы данных и др.);                   

¾    подлинники и  копии отчетных, аналити­ческих и справочных материалов, переда­ваемых руководству предприятия, руково­дителям структурных подразделений и служб;

¾    копии отчетов, направляемых в государ­ственные органы статистики, налоговые инспекции, вышестоящие  органы управле­ния, муниципальные и другие учреждения.

В ст. 86 Трудового кодекса  РФ содержатся общие требования при  обработке персональных данных работника  и гарантии их защиты.

В целях обеспечения  прав и свобод человека и гражданина работодатель и его представители  при обработке персональных данных работника обязаны соблюдать следующие общие требования:

1) обработка персональных  данных работника может осуществляться  исключительно в целях обеспечения  соблюдения законов и иных  нормативных правовых актов, содействия  работникам в трудоустройстве, обучении и про движении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества;

2) при определении  объема и содержания обрабатываемых  персональных данных работника работодатель должен руководствоваться Конституцией Российской Федерации, Трудовым кодексом и иными федеральными законами;

3) все персональные  данные работника следует получать  у него самого. Если персональные  данные работника возможно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Работодатель должен сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и по следствиях отказа работника дать письменное согласие на их получение;

4) работодатель не  имеет права получать и обрабатывать  персональные данные работника  о его политических, религиозных  и иных убеждениях и частной жизни. В случаях, непосредственно связанных с вопросами трудовых отношений, в соответствии со статьей 24 Конституции Российской Федерации работодатель вправе получать и обрабатывать данные о частной жизни работника только с его письменного согласия;

5) работодатель не  имеет права получать и обрабатывать  персональные данные работника  о его членстве в общественных  объединениях или его профсоюзной  деятельности, за исключением случаев,  предусмотренных Трудовым кодексом  или иными федеральными законами;

6) при принятии решений, затрагивающих  интересы работника, работодатель  не имеет права основываться  на персональных данных работника,  полученных исключительно в результате  их автоматизированной обработки  или электронного получения;

7) защита персональных данных работника от неправомерного их использования или утраты должна быть обеспечена работодателем за счет его средств в порядке, установленном Трудовым кодексом и иными федеральными законами;

8) работники и их представители  должны быть ознакомлены под роспись с документами работодателя, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области;

9) работники не должны отказываться  от своих прав на сохранение  и защиту тайны;

10)работодатели, работники и их представители должны совместно вырабатывать меры защиты персональных данных работников.

При работе с персональными данными  сотрудниками отделов кадров должны соблюдаться следующие основополагающие принципы по их защите:

- личная ответственность руководства предприятия и работников отдела кадров за сохранность и конфиденциальность сведений о работе отдела и персональных данных, а также о носителях этой информации;

- разбиение (дробление) персональных  данных между разными руководителями  предприятия и работниками отдела кадров;

- наличия четкой разрешительной  системы доступа руководства  предприятия и работников отдела  кадров к документам, содержащим  персональные данные;

- проведения регулярных  проверок наличия традиционных и электронных документов, дел и баз данных у работников отдела и кадровых документов в подразделениях предприятия.

Главным здесь является четкая регламентация функций работников отдела кадров по разным видам документов, дел, карточек, журналов персонального учета и баз данных. Посторонние лица не должны знать распределение этих функций, рабочие процессы, технологию составления, оформления, ведения и хранения документов, дел и рабочих материалов в отделе кадров. Под посторонними лицами понимаются не только злоумышленники или их сообщники, но и сотрудники предприятия, функциональные обязанности которых не связаны с работой отдела кадров. Следует также учитывать, что работник отдела кадров не должен быть осведомлен о порядке работы других сотрудников отдела.

Для этого первый руководитель предприятия  должен издать приказ о закреплении за работниками отдела кадров определенных массивов документов, необходимого для информационного обеспечения функций, указанных в должностных инструкциях. Должна также быть схема доступа работников отдела кадров и руководящего состава предприятия, структурных подразделений к документам отдела, введена личная ответственность указанных должностных лиц и работников за сохранность и конфиденциальность персональных данных.     

В случае необходимости перераспределения  обязанностей среди работников отдела (например, при болезни одного из них) издается соответствующее распоряжение начальника отдела кадров, в котором регламентируется характер изменений, их срок и дополнения к документам, делам и базам данных. Следует соблюдать следующие особенности обработки и хранения документов. Приказы по личному составу составляются, оформляются и хранятся в отделе кадров, а не в делопроизводственной службе. Материалы, связанные с анкетированием, тестированием, проведением собеседований  с кандидатами на должность, помещаются не в личное дело сотрудника, а в специальное дело с грифом «Строго конфиденциально». Объясняется это тем, что подобные материалы раскрывают личные и моральные качества сотрудника и могут при разглашении содержащихся в них сведений стать полезными злоумышленнику.      

Приказом  первого руководителя предприятия  должен быть установлен порядок выдачи и ознакомления руководящего состава с личными делами сотрудников. Личные дела могут выдаваться только на рабочие места первого руководителя предприятия, его заместителя по кадрам и начальника отдела (управления) кадров. Дела выдаются (в том числе начальнику отдела кадров или при наличии письменного разрешения – работнику отдела) под роспись в контрольной карточке. При возврате дела тщательно проверяется сохранность документов, отсутствие повреждений и включений в дело других документов или их подмены. Просмотр дела производится в присутствии руководителя. Передача личных дел руководителям через их секретарей или референтов не допускается.

Другие руководители предприятия могут знакомиться  с личными делами (или при  отсутствии личных дел – карточками формы Т-2 (Приложение 1)) только непосредственно подчиненных им сотрудников; к справочно-информационному банку данных и другой документации отдела кадров они не допускаются. Ознакомление с делами осуществляется в помещении отдела кадров под наблюдением работника, ответственного за сохранность и ведение личных дел. Факт ознакомления фиксируется контрольной карточке личного дела. Работник предприятия вправе ознакомиться только со своим личным делом и трудовой книжкой, учетными карточками, отражающими его персональные данные. Факт ознакомления с личным делом также фиксируется в контрольной карточке.

Не допускается, чтобы  работник отдела кадров мог знакомиться  с любыми документами и материалами  отдела. Целесообразно, чтобы каждый из них был закреплен за определенной группой персонала предприятия  и выполнял весь объем функций  от подбора кандидата на вакантную должность до хранения документации.

В случае необходимости  перераспределения обязанностей среди  работников отдела (например, при болезни  одного из них) издается соответствующее  распоряжение начальника отдела кадров, в котором регламентируется характер изменений, их срок и дополнения к документам, делам и базам данных.

Операции по оформлению, формированию, ведению и хранению личных дел выполняются одним  работником отдела кадров, который  несет личную ответственность за сохранность документов в делах и доступ к делам других работников.

Не менее строгого контроля требует работа со справочно-информационным банком данных по персоналу предприятия (карточками, журналами и книгами  персонального учета сотрудников).

Отчетная и справочная работа отдела формирует каналы несанкционированного получения и незаконного использования персональных данных. В связи с этим первым руководителем устанавливается: кто, когда, какие сведения и с какой целью может запрашивать в отделе кадров. И, что особенно важно – определяется порядок дальнейшего хранения сведений, работа с которыми закончена: где эти сведения будут находиться, кто несет ответственность за их сохранность и конфиденциальность.

На документах, выходящих  за пределы отдела кадров, может  ставиться гриф «конфиденциально» или «для служебного пользования». В отделе кадров обязательно остаются копии всех отчетных и справочных документов. Целесообразно, чтобы подлинники этих документов после минования в них надобности возвращались в от дел кадров для включения в дело вместо хранящейся там копии.

В структурных подразделениях предприятия могут быть следующие  документы, содержащие персональные данные:

- журнал табельного  учета с указанием должностей, фамилий и инициалов сотрудников  (находится у работника, ведущего табельный учет, - табельщика),

- штатное расписание (штатный формуляр) подразделения,  в котором может дополнительно  указываться, кто из сотрудников  занимает ту или иную должность,  вакантные должности (находится  у руководителя подразделения),

- дело с выписками из приказов по личному составу, касающимися персонала под разделения (находится у табельщика).

На столе работника, ведущего прием, не должно быть никаких  документов, кроме тех, которые касаются данного посетителя. Ответы на вопросы  даются только лично тому лицу, которого они касаются. Не допускается отвечать на вопросы, связанные с передачей персональной информации, по телефону или факсу. Ответы на правомерные письменные запросы других учреждений и организаций даются в письменной форме и в том объеме, который позволяет не разглашать излишний объем персональных сведений.

Иными словами, порядок  функционирования отдела кадров должен быть подчинен решению задач обеспечения  безопасности персональных сведений, их защиты от разного рода злоумышленников.

Как показывает опыт, применение только административных мер не гарантирует полноценную охрану конфиденциальных сведений. Надежность защиты зависит во многом от расстановки и внутрифирменного развития сотрудников. Кроме того, персонал - один из главных каналов утечки информации. Деятельность кадровой службы должна быть направлена на воспитание работников, допущенных к работе с персональными данными, выработку навыков работы с носителями конфиденциальной информации, закрытие бытовых каналов утечки данных. Здесь могут быть полезны индивидуальная беседа, предупреждение об ответственности, разъяснение юридических последствий разглашения информации.

В соответствии с действующим  законодательством предусмотрено  несколько видов ответственности  за нарушение норм в области защиты персональных данных (гражданско-правовая, материальная, дисциплинарная, административная и уголовная).

Материальная  ответственность работника за разглашение  сведений, относящихся к персональным данным других работников, возлагается  на него в полном размере причиненного ущерба (п. 7 ст. 243 ТК РФ). Случаи полной материальной ответственности являются исключениями из общего правила, что подтверждает особое значение института защиты персональных данных работников в отечественном трудовом праве.

Дисциплинарная ответственность в виде увольнения наступает для работника, разгласившего охраняемую законом тайну (в том числе персональные данные другого работника). Однако необходимо, чтобы эти сведения стали известны работнику в связи с исполнением им своих трудовых обязанностей (поди, «в» п. 6 ст. 81 ТК РФ). В соответствии со ст. 192 ТК РФ привлечение работника, совершившего дисциплинарный проступок, является правом, а не обязанностью работодателя. При наложении дисциплинарного взыскания работодатель должен учесть тяжесть совершенного проступка и обстоятельства, при которых он был совершен. Поэтому вместо увольнения работодатель вправе наложить на виновное лицо взыскание в виде замечания или выговора.

Административная  ответственность за нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) влечет предупреждение или наложение административного штрафа на граждан в размере от 0,3 тыс. до 0,5 тыс. руб.; на должностных лиц — от 0,5 тыс. до 1 тыс. руб.; на юридических лиц — от 5 тыс. до 10 тыс. руб. (ст. 13.11 Кодекса РФ об административных правонарушениях[6].)  

Необходимо  подчеркнуть, что поскольку применение мер дисциплинарной ответственности  является правом (а не обязанностью) работодателя, именно от него зависит, насколько эффективно будет использоваться эта мера ответственности. Ведь конкретные составы проступков в законе не определены. Они устанавливаются на основе норм ТК РФ, трудового договора работника и документов локального нормативного регулирования. Можно сказать, что именно в этом и видится основная проблема применения данного вида ответственности. Работодателям следует обратить внимание на ст. 10 Закона о персональных данных, в соответствии с которой при обработке специальных категорий персональных данных требуется получать у субъекта персональных данных письменное согласие на обработку таких персональных данных. Российские работодатели традиционно не уделяют достаточно внимания внутреннему нормативному регулированию деятельности организации, что применительно к защите персональных данных работников может обернуться многочисленными нарушениями действующего законодательства. Ситуация усугубляется еще и тем, что применение мер дисциплинарной ответственности является внутренним делом работодателя, и для того чтобы применить взыскание к недисциплинированному работнику, требуется как минимум дисциплинированный работодатель.

Библиографический список

1. Федеральный закон от 27.07.2006 № 152-ФЗ (ред. от 25.07.2011) «О персональных данных» // ИПС «Консультант Плюс»

2. Трудовой кодекс Российской Федерации» от 30.12.2001 № 197-ФЗ (ред. от 23.04.2012) (с изм. и доп., вступающими в силу с 01.07.2012) // ИПС «Консультант Плюс»

3. Лютов Н.Л. Российское трудовое законодательство и международные трудовые стандарты: соответствие и перспективы совершенствования: научно-практическое пособие. М.: Центр социально-трудовых прав, 2012. 128 с.

4. Овсянникова Е. Насколько эффективна защита персональных данных работников? // Трудовое право. 2013. № 2. С. 91 - 102; Делопроизводство. 2013. № 1. С. 75 - 80.

5. Петрыкина Н.И. Правовое регулирование оборота персональных данных. Теория и практика. М.: Статут, 2011. 134 с.

6. Кодекс Российской Федерации об административных правонарушениях от 30.12.2001 № 195-ФЗ (ред. от 08.06.2012, с изм. от 14.06.2012) (с изм. и доп., вступающими в силу с 02.07.2012) // ИПС «Консультант Плюс»