Персональные данные работников: требования ТК РФ и порядок обработки
Кадровые данные есть у любой организации: паспорта, СНИЛС, сведения о семье, медицинские справки. К ним применяются 152-ФЗ и отдельные нормы Трудового кодекса, а проверяющие смотрят на них в первую очередь, потому что у оператора всегда есть сотрудники. Ниже требования ТК РФ к обработке данных работников, как они отражаются в процессах и документах, и чек-лист для самопроверки.
Оговорка. Статья не юридическая консультация. Состав требований изложен по разделу об особенностях обработки данных работников в методике контроля Группы Сбер (источник), где он опирается на статьи 86, 88, 89 и 90 Трудового кодекса; это методика для крупных компаний, мы пересказываем её своими словами. Требования сверены по тексту статей 86, 88, 89 и 90 ТК РФ; кодекс меняется, действующую редакцию проверяйте по тексту кодекса, а решения по кадровым документам согласуйте с юристом.
Общие требования к обработке (статья 86 ТК РФ)
| Требование | Что это значит в процессах |
|---|---|
| Цели обработки ограничены | Только соблюдение законов, помощь в трудоустройстве, обучении и продвижении, личная безопасность работников, контроль количества и качества работы, сохранность имущества |
| Данные получают у самого работника | Если данные можно получить только у третьей стороны, работника уведомляют заранее и получают его письменное согласие, сообщая цели, источники и способы получения, характер данных и последствия отказа |
| Нельзя получать и обрабатывать специальные категории без оснований | Сведения о здоровье, убеждениях, членстве в объединениях и профсоюзах обрабатываются только в случаях, предусмотренных ТК РФ и иными законами |
| Решения нельзя основывать только на автоматизированной обработке | Кадровые решения, затрагивающие работника, не принимаются исключительно по данным системы без участия человека |
| Защита за счёт работодателя | Защита данных от неправомерного использования или утраты обеспечивается за счёт организации |
| Знакомство под подпись | Работники и их представители знакомятся с документами, устанавливающими порядок обработки данных, и со своими правами и обязанностями |
Передача данных работника (статья 88 ТК РФ)
- Передача третьей стороне — с письменного согласия работника, кроме случаев угрозы жизни и здоровью и иных случаев, предусмотренных законом.
- Сообщать данные работника в коммерческих целях без письменного согласия нельзя.
- Получатели предупреждаются, что данные можно использовать только в тех целях, для которых они сообщены, с соблюдением конфиденциальности, и работодатель вправе требовать подтверждения этого.
- Внутри организации передача идёт по локальным актам, с которыми работник ознакомлен под подпись.
- Доступ к данным получают только специально уполномоченные лица, и только к тем данным, которые нужны для их функций.
- Запрашивать сведения о состоянии здоровья можно только в части, относящейся к возможности выполнять трудовую функцию.
- Данные работников можно передавать их представителям в установленном порядке и только в объёме, необходимом для функций представителей.
Права работников (статья 89 ТК РФ)
Работник вправе, в частности:
- получать полную информацию о своих данных и их обработке;
- иметь свободный бесплатный доступ к ним, включая копии любых записей, если закон не ограничивает;
- определять своих представителей для защиты данных;
- иметь доступ к медицинской документации с помощью выбранного им медицинского работника;
- требовать исключить или исправить неверные, неполные или обработанные с нарушениями данные и подать заявление при несогласии работодателя;
- дополнить данные оценочного характера заявлением, выражающим его точку зрения;
- требовать, чтобы работодатель известил всех, кому ранее сообщили неверные данные, об исправлениях;
- обжаловать в суд любые неправомерные действия или бездействие работодателя при обработке и защите данных.
Порядок работы с запросами: запросы субъектов ПДн. Они подчиняются и общим срокам 152-ФЗ.
Ответственность (статья 90 ТК РФ)
Виновные в нарушении законодательства о персональных данных при обработке данных работника привлекаются к дисциплинарной и материальной ответственности в порядке, установленном ТК РФ и иными законами, а также к гражданско-правовой, административной и уголовной ответственности по федеральным законам. Для организации важно иметь процедуру, по которой виновных можно привлечь: приказы, ознакомление, журналы доступа. Размеры штрафов для организации: штрафы за нарушения с ПДн.
Как это сделать на практике
- Составьте перечень кадровых процессов и данных. Приём, учёт, табель, расчёт, обучение, командировки, видеонаблюдение, пропускная система. Для каждого запишите цель, состав данных и основание.
- Оформите согласия там, где они нужны. Для получения данных у третьих лиц и для передачи; об особенностях согласий: согласие на обработку ПДн.
- Утвердите положение об обработке данных работников и ознакомьте под подпись всех работников, а также людей, имеющих доступ.
- Ограничьте доступ. К кадровым системам и папкам имеют доступ только уполномоченные; доступ журналируется, права пересматриваются: управление доступом.
- Защитите данные. Шифрование, копии, контроль передачи: шифрование дисков и данных.
- Определите сроки хранения документов и порядок уничтожения: уничтожение ПДн. Многие кадровые документы хранятся по срокам, установленным законом, и уничтожать их раньше нельзя.
- Проверяйте подрядчиков, которым передаёте кадровые данные (бухгалтерия, облачные кадровые системы): поручение обработки.
Особые ситуации
| Ситуация | На что обратить внимание |
|---|---|
| Видеонаблюдение и контроль работы | Цель и основание, уведомление работников, ограничение доступа к записям, срок хранения |
| Биометрия (пропуска по отпечатку и лицу) | Особая категория данных: требования к согласию и защите строже, согласуйте с юристом |
| Кандидаты и соискатели | Цель — подбор; срок хранения резюме ограничен и описан; без согласия на передачу в базы третьих лиц нельзя |
| Увольнение | Данные хранятся по срокам законов о хранении документов; остальное уничтожается; доступ отзывается в день события |
| Работа через мессенджеры и личные устройства | Ограничьте использование, определите разрешённые каналы |
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Кадровые файлы лежат в общей сетевой папке | Нет ограничения доступа. Закройте папку по списку, ведите журнал доступа |
| Сотрудников не знакомили с положением | Нет подтверждения. Проведите ознакомление и храните листы |
| Данные передают бухгалтерии на аутсорсе без договора | Нет поручения. Оформите договор с условиями по статье 6 152-ФЗ |
| Работник просит копию своего дела | Он вправе получить копии записей. Подготовьте их в срок и зафиксируйте выдачу |
Где это в моделях
Материал продолжает раздел «Регуляторика ПДн» и относится к направлению «Безопасность данных» (материалы направления, самопроверка оператора ПДн, карта зрелости). Особенности обработки данных работников — отдельная область контроля в методике Группы Сбер, где проверяют и порядок, и его включение в процессы.
Как проверить
- Есть перечень кадровых процессов с целями, составом данных и основаниями.
- Положение об обработке данных работников утверждено, все работники ознакомлены под подпись.
- Доступ к кадровым данным ограничен списком уполномоченных, журнал ведётся.
- Передача данных третьим лицам оформлена согласием, договором или иным основанием.
- Определены сроки хранения и порядок уничтожения для каждой группы документов.
Источники
- Трудовой кодекс Российской Федерации, статьи 86–90: КонсультантПлюс. Проверяйте действующую редакцию.
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»: КонсультантПлюс.
- Методика осуществления контроля соблюдения фокусными компаниями законодательства РФ в области персональных данных, Группа Сбер: sberbank.ru.
