Что входит в сведения о работнике и как защитить персональные данные сотрудников

Работодатели каждый день имеют дело с таким понятием, как персональные данные: собирают информацию о персонале, обрабатывают, а потом хранят ее. Если совершить ошибку в этом процессе, то есть риск нарваться на немалые штрафы от Роскомнадзора.

Разбираемся, какие законы стоят на защите персональных данных работника, в каких случаях нужно, а когда вовсе не обязательно согласие работника на обработку персональных данных и как проверить нового сотрудника, не нарушая законодательные нормы.

Что относится к персональным данным работника?

Персональные данные работника – это любая информация, которая имеет к нему отношение. Причем не только прямое, но и косвенное. К персональным данным можно отнести ФИО, дату и место рождения, адрес, ИНН, СНИЛС, номер телефона. Также в этот список входят такие сведения о работнике, как размер зарплаты, образование и профессия, какое имущество есть и даже семейное положение.

Какие законы регулируют обращение с персональными данными

Большая часть информации о человеке нужна работодателю, чтобы заключить договор, перечислять налоги, оформить пропуск на предприятие. Однако использовать персональные данные работника как угодно запрещено – на их защите стоит закон. Нарушения грозят административным и даже уголовным наказанием.

В России есть несколько нормативных актов, где так или иначе затрагивается тема персональных данных.

Порядок обращения с персональными данными отражен в:

• Трудовом кодексе;
• КоАП РФ;
• Уголовном кодексе.

Главным же документом стал Федеральный закон №152-ФЗ «О персональных данных».

Нарушения работы с персональными данными: примеры и санкции

За нарушения в работе с персданными обычно наказывают штрафами. Но за особо серьезные провинности могут лишить права заниматься определенным видом деятельности и даже отправить в колонию.

Выявляет нарушения Роскомнадзор. Случается это либо при проверке, либо по жалобе сотрудника.

Рассмотрим самые частые нарушения и как за них наказывают.

Нет согласия на обработку данных.

По закону человек может получать зарплату на любую указанную карту или счет. Работник договорился с начальством, что деньги будут перечислять на счет жены. Однако чтобы в дополнительном соглашении к трудовому договору появились цифры счета, она должна дать согласие на обработку своих данных. Иначе будет нарушение.

Организация размещает на своем сайте фото сотрудников. Такое действие можно назвать распространением информации неограниченному кругу лиц. Требуется соответствующее согласие.

• Санкции: компании придется заплатить штраф до 150 тысяч рублей, а руководству – до 40 тысяч рублей.

Обработка данных, которых нет в законе

Руководство кафе у всех новеньких сотрудников просит справку о том, что они не были судимы. Между тем не все работники должны предоставлять такую информацию. Эта обязанность предусмотрена только, например, для педагогов, работников судебной системы и так далее.

• Санкции: начальство заплатит до 20 тысяч рублей штрафа, а организация – до 100 тысяч.

Нецелевое использование информации

Отдел кадров запросил у сотрудника диплом. Цель – оформление трудового договора. Впоследствии начальство решило: хорошо бы показать, насколько крутые специалисты работают в компании и опубликовать информацию из диплома на сайте.

• Санкции: компанию оштрафуют на сумму до 100 тысяч рублей. Руководитель заплатит до 20 тысяч.

Нет внутреннего документа об обработке персданных

Каждый сотрудник должен знать, по каким правилам компания играет в плане обработки персональных данных. Необходимо создать локальный документ и ознакомить с ним работников. Еще лучше – если он будет в свободном доступе, например, на сайте.

• Санкции: наказание – до 60 тысяч рублей для организации и до 12 тысяч для владельца бизнеса.

Сотрудник не может дождаться, когда его ознакомят с обрабатываемыми данными

Если работник сделал запрос о своих персональных данных, на него должны ответить в течение месяца. Если сроки затягивают – это нарушение.

• Санкции: компанию оштрафуют на сумму до 80 тысяч рублей, руководителю придется заплатить до 12 тысяч рублей.

Хранят данные даже после того, как работник попросил их уничтожить

Сотрудник уволился и попросил удалить о себе информацию с сайта компании, однако этого не сделали.

• Санкции: если Роскомнадзор выявит этот факт, то придется заплатить немалый штраф: максимум 90 тысяч рублей предусмотрено для организаций и до 20 тысяч для руководства.

Хранят информацию в зарубежных базах

Такое случается, если учредители организации тоже находятся за границей. Хранить информацию россиян можно только в базах РФ.

• Санкции: такое нарушение самое суровое по штрафам – до 6 млн рублей.

Если же работодатель или сотрудник отдела кадров распространяет информацию о здоровье сотрудника, подробности его личной жизни, то, скорее всего, штрафом дело не закончится. Придется нести уголовную ответственность.

Надо ли уведомлять РКН об обработке данных сотрудников?

В некоторых случаях уведомление НЕ нужно:

• когда данные обрабатывают на основании ТК РФ;
• когда работник согласился на обработку информации, которая будет распространена;
• когда человеку нужен пропуск, чтобы один раз попасть, например, на завод.

Во всех остальных случаях необходимо ставить в известность Роскомнадзор о том, что компания собирается обрабатывать данные сотрудника. Причем делать это нужно еще до обработки, перед тем, как оформить кандидата в штат. Иначе ждут штрафы: организацию обяжут заплатить до 5 тысяч рублей, а с руководителя потребуют 500 рублей. Форма уведомления есть на официальном сайте Роскомнадзора. Нужно просто ее заполнить и отправить.

Когда согласие на обработку персональных данных не требуется?

Согласие на обработку персональных данных сотрудника нужно не всегда. Его можно не запрашивать в таких случаях:

• Когда нужно заключить трудовой договор, для которого необходима информация из паспорта.

Но если компания собирается эти данные кому-то сообщить, например, банку – чтобы оформить зарплатную карту, тогда придется брать с работника согласие.

• Когда речь идет о данных, которые нужны для исполнения работником своих обязанностей и функций, прописанных в трудовом договоре.
• Когда информацию отправляют в государственные ведомства – пенсионный фонд, военкомат, трудовую инспекцию и др.
• Когда сведения о здоровье работника необходимо знать по закону.

К примеру, без согласия сотрудников обрабатывают данные (информацию из медицинской книжки, справку от психиатра) школы, заведения общепита.

• Когда нужно в налоговую отправить сведения об уволенных сотрудниках.
• Когда персональные сведения необходимы для исполнения внутренних нормативных документов организации.

Например, информация нужна для оформления пропусков на предприятие.

• Когда закон обязывает размещать данные о своих сотрудниках в Интернете.

Например, информация из диплома врача должна появиться на портале медицинской клиники, где он работает.

• Когда требуются данные родственников, чтобы сотрудник получал социальные выплаты, платил алименты и так далее.

Также согласие не нужно, если заполняют личную карточку работника.

• Когда закон обязывает хранить некоторые документы после увольнения сотрудника.

Например, 5 лет должны храниться бумаги, по которым начисляют налоги.

Виды согласия работников на обработку их персональных данных

Законом предусмотрено два типа согласия:

1. Согласие на обработку персональных данных
2. Согласие на обработку персональных данных, которые сотрудник разрешает для распространения

Разберем их подробнее.

Согласие на обработку персональных данных

Его составляют как отдельный документ или включают в трудовой договор. Помимо информации из паспорта, ИНН, СНИЛСа, номера телефона он может содержать также, если в этом есть необходимость, медицинские данные, национальность, религиозные взгляды, фото и видео. 

Согласие обязательно получают в следующих ситуациях:

• Список данных выходит за пределы требований ТК РФ.

Пример: нужно фото для создания пропуска или личная электронная почта, которую укажут в визитке.

• Необходимо уточнить информацию у третьих лиц.

Пример: согласие просят у кандидата, если собираются наводить справки о нем у бывшего начальства.

• Запрашивается информация о здоровье, религиозных и политических взглядах специалиста.

Исключение – профессии, для которых эти данные входят в список обязательных для найма на работу.

Пример: у менеджера согласие просят, а вот у учителя – нет, потому что без справки от психиатра работать в школах запрещено по закону.

• Данные будут использованы в коммерческих целях.

Пример: компания передает информацию о водителе-экспедиторе своим партнерам.

• Нужны биометрические данные.

Пример: на территорию завода можно попасть только по отпечаткам пальцев или пропуску, для которого используют фото сотрудника.

• Информация будет опубликована в общем доступе.

Пример: в выходных данных газеты указывают личные номера и электронные почты рекламных менеджеров. 

Скачать согласие на обработку персональных данных, образец

Согласие на обработку персональных данных, которые сотрудник разрешает использовать для распространения

Представляет собой отдельный документ. Согласие нужно, когда персданные сотрудника увидит неограниченный круг лиц.

Согласие обязательно получают в следующих ситуациях:

• На сайте собираются опубликовать информацию о дипломе работника.

Исключение: данные об образовании медиков публикуют без согласия, потому что это требование закона.

• На сайте указывают ФИО, телефон, почту.

Исключение: если речь идет о должностном лице, в чьи обязанности входит прием жителей населенного пункта, то согласие не нужно.

• Данные просят госорганы, но запрос от них составлен неправильно – нет подписи ответственного лица, адреса ведомства.

Исключение: если запрос составлен верно, то согласие не нужно. Например, персональные данные компания должна передать полиции, которая проверяет сотрудника в рамках расследования уголовного или административного дела.

Есть ли у работника право отозвать согласие?

Сделать это можно в любой момент, главное – написать заявление.

Обработка данных уволенного сотрудника: нужно ли согласие

Документ не нужен, если данные будут использовать в определенных целях: работодателю нужно отчитываться перед налоговой, вести бухучет.

Как долго хранить согласие на обработку персданных?

Согласие на обработку персональных данных сотрудник дается на определенное время. Обычно это год. Как только срок действия закончится, документ хранят еще 3 года. 

Бывают случаи, когда работник отзывает согласие раньше срока действия – в этом случае 3 года отсчитывают с момента отзыва.

Может ли согласие на обработку персональных данных быть электронным?

Согласие на обработку персональных данных, как и любые другие документы компании, подписываются электронной подписью. Она может быть какой угодно – квалифицированной, неквалифицированной, простой.

Особенности работы с персональными данными соискателей

Работодатели и сотрудники должны помнить два главных момента, связанных с обработкой персданных:

1. Ответственность за их правильную обработку начинается с момента, когда соискатель присылает резюме на опубликованную вакансию. Однако согласие не нужно, если человек сам разместил резюме в Интернете или же прислал его в компанию, которая не заявляла об открытых вакансиях.
2. При устройстве на работу кандидат приносит паспорт, ИНН, СНИЛС, диплом. Для того, чтобы данные из этих документов внесли в трудовой договор, согласие не требуется. Как только работник подпишет договор,  работодатель имеет право по умолчанию обрабатывать информацию. Без этого невозможно начислять зарплаты и отчитываться перед налоговой, пенсионным фондом.

Итого: как настроить работу с персональными данными сотрудников

Чтобы не нарушить закон при сборе, обработке и хранении персональных данных, стоит заранее подготовиться и выстроить алгоритм по работе с ними:

• Создайте Положение о защите персональных данных работников.

Это внутренний нормативный акт компании, который, по сути, будет дублировать закон. Каждый сотрудник должен его прочитать и подписать.

• Назначьте ответственного за персданные.

Собирать согласия и анкеты, а также отвечать за сохранность этих бумаг должен отдельный сотрудник. Он подписывает документ о неразглашении информации, собирает трудовые книжки, делает копии паспортов, составляет договоры.

• Просите согласие на обработку у всех сотрудников.

Такая мера поможет подстраховаться: бывает, что закон о персональных данных нарушается случайно по халатности какого-нибудь работника.

• Не забывайте об уведомлениях для Роскомнадзора.

Как мы говорили выше, есть случаи, когда Роскомнадзор необходимо ставить в известность о сборе и хранении персональных данных. Не пренебрегайте этими правилами.

• Не допускайте утечки информации.

Чтобы этого избежать, стоит подумать о надежном хранении документов. У каждой компании свои методы – от сейфа до отдельной комнаты под замком.

• Выбирайте надежный способ уничтожения персданных. 

Когда срок действия документов истечет, их необходимо уничтожить. Хранить запрещено. Но бумаги нужно не просто выкинуть, а сделать так, чтобы они никогда не попали в руки третьих лиц. В помощь – измельчитель бумаги. Если речь идет об электронном варианте документов, то удалить стоит всю информацию с сервера.

Как проверять благонадежность соискателей, не нарушая закон о персональных данных?

Знать о будущем работнике как можно больше – значит, уберечь свой бизнес от убытков и потери репутации. При приеме на работу новых сотрудников крупные компании подключают службу безопасности. А организациям помельче приходится самим наводить справки о людях – например, с помощью онлайн-сервисов для проверки кандидатов на благонадежность. Однако это так же является сбором персональных данных, поэтому обязательно нужно получить от кандидата согласие на сбор и обработку информации. 

Надежный способ проверить соискателя с разных сторон –  SpectrumData. Это крупнейший сервис, который расскажет о соискателе многое:

• о финансовом положении: есть ли у него кредиты, неоплаченные штрафы, долги по алиментам;
• о правовой благонадежности: не разыскивает ли его полиция, не числится ли он в списке террористов, в каких судебных делах был замешан;
• о действительности паспорта и других документов;
• об интересах в Телеграм и многое другое.  

Чтобы получить информацию, необходимо взять у кандидата согласие на обработку персональных данных и потратить всего три минуты. За это время сервис SpectrumData сформирует полный отчет, опираясь на более чем 70 баз данных государственных ведомств и коммерческих организаций. Одно из преимуществ сервиса – полное соответствие ФЗ №152 «О персональных данных»

Чтобы убедиться в достоверности информации и решить, насколько SpectrumData необходим для вашего бизнеса, попробуйте сервис в тестовом режиме. Это бесплатно.

Автор: Олеся Москевич