Что не является обработкой персональных данных. Зачем нужно согласие на обработку персональных данных

В век информации и интернет-пространства данные передаются и распространяются с невиданной доселе быстротой. Социальные сети подливают масла в огонь, делая личные данные пользователей практически общедоступными. Но всегда ли сам владелец согласен с тем, что сведения о нём собирают, изучают, хранят и передают?

Персональные данные: что к ним относится?

Сведения о лице столь важны и значимы, что законодатель решил, наконец, юридически урегулировать эту сферу и определил персональные данные как информацию о лице, которая его идентифицирует.

Сюда относятся:

• имя, отчество, фамилия;
• место проживания;
• дата и место рождения.

Отдельный правовой режим установлен для сведений, представляющих риск для прав и свобод субъекта персональных данных и включающих сведения о:

• расовом или этническом происхождении;
• национальности;
• религиозных и мировоззренческих взглядах;
• членстве в политических партиях и профсоюзах;
• привлечении к уголовной ответственности;
• здоровье, половой жизни, биометрических и генетических данных.

К персональным относятся паспортные и другие регистрационные сведения, данные о семейном или имущественном положении (за исключением государственных служащих) и многие другие, так как их перечень законодателем не ограничен.

Законом установлена и форма согласия на обработку персональных данных. Такое разрешение оформляется письменно, дабы быть уверенным в безусловном согласии владельца информации.

В чём заключается обработка персональных данных?

Каждый гражданин может знакомиться со сведениями о другом лице как по роду работы, так и в процессе неофициального общения, читая газеты или просматривая интернет-страницы. Такое ознакомление не означает обработку персональных данных: прочёл, услышал, узнал - и, возможно, забыл. Или просто взял на заметку.

Если же информация о лице собирается для последующей систематизации, использования, передачи или хранения - это уже обработка личных данных. Такой процедурой занимаются, например, поликлиники или школы: полученные данные регистрируются, заносятся в базы и каталоги, классифицируются для последующего использования в своих уставных целях.

Журналист, писатель или частное лицо может обрабатывать личную информацию исключительно в творческих целях без соблюдения юридических норм.

Ограничения на обработку личной информации

Сбор и обработка персональных данных допускаются исключительно для выполнения уставных задач и достижения установленной цели. Например, поликлиника может использовать полученную от пациентов личную информацию только для оказания медицинской помощи указанным лицам.

Целые массивы с личной информацией обрабатывают страховые компании, турагентства, транспортные предприятия, коммунальные службы и другие подобные юридические лица. Указанные организации могут пользоваться такой информацией только для выполнения своих задач перед потребителем и не имеют права собирать сведений больше, чем это необходимо для конкретной ситуации.

Нельзя собирать данные, представляющие риск для прав и свобод лица, если такие сведения не предоставлены самим лицом, например, член политической партии представил сведения о себе непосредственно партийной организации.

Кто имеет право обрабатывать сведения о лице?

Проводить какие-либо действия с персональными данными может исключительно тот, кому владелец данных дал согласие.

Бывают и исключения из правил, например, следственные органы могут обрабатывать информацию об обвиняемом без его согласия. Такое право следователя вызвано необходимостью защиты общественных интересов и выполнением им своих должностных обязанностей.

Налоговые, пенсионные органы также производят различные операции с личной информацией не только для выполнения своих обязанностей, но и для обеспечения прав граждан.

Мобильные операторы обладают немалым объёмом личных сведений об абонентах. Разумеется, такую информацию они могут использовать только для предоставления качественной мобильной связи пользователю.

Персональные данные на работе

Чаще всего личную информацию предоставляют при трудоустройстве. Законом установлен перечень обязательных сведений о работнике, без которых приём на работу невозможен:

• имя, отчество, фамилия;
• дата рождения;
• место жительства;
• серия, номер, дата выдачи паспорта;
• регистрационные налоговые и страховые номера;
• семейное положение;
• состояние здоровья и некоторые другие сведения.

С получением указанных данных закон связывает определённые правовые последствия по оплате труда, предоставлению отпусков, льгот и многим другим вопросам.

Разумеется, каждый гражданин может отказаться от разглашения сведений о себе, но в этом случае работодатель получает право отказать ему в приёме на работу - такова правовая взаимосвязь. Чаще всего проблем при оформлении не возникает, так как работник добровольно предоставляет нужную информацию.

Впрочем, следует помнить, что работодатель не имеет права на операции с данными работника о национальной или партийной принадлежности, религиозных взглядах и некоторых других.

Что такое согласие на обработку персональных данных?

Разрешение владельца персональных данных на их обработку обычно оформляется в письменной форме, в том числе и при трудоустройстве.

Наученные горьким опытом или просто осторожные компании просят потребителей подписать соответствующие заявления при оформлении дисконтных карт и участии в акциях; поликлиники, школы, вузы и другие учреждения также разработали типовое согласие на обработку персональных данных.

Образец перед подписанием следует внимательно изучить и убедиться, что запрашиваемая информация действительно необходима конкретному лицу. Письменная форма согласия на обработку персональных данных позволяет подтвердить добрую волю владельца.

Оговорки о персональных данных вносятся практически во все договоры: хозяйственные, трудовые, потребительские, ведь в деле соблюдения закона лучше немного перестараться, чем недоглядеть.

Письменное оформление

Ниже приведена письменная форма согласия работника на обработку персональных данных.

Директору завода «Сельхозмаш»

Иванову И. И.

тракториста цеха механизации

Аристова Олега Аркадьевича.

Место составления.

Данным заявлением даю письменное разрешение на сбор, обработку, использование и хранение моих персональных данных, в пределах, необходимых для обеспечения моих трудовых и социальных прав, оплаты установленных налогов, сборов и других обязательных платежей, внесения обязательных взносов в государственные фонды, а также для иных целей, вытекающих из трудовых и смежных с ними правоотношений между мной и работодателем и в пределах, предусмотренных действующим законодательством.

Работодатель имеет право передавать мои персональные данные третьим лицам только в случаях, прямо установленных законом.

Согласие на сбор и обработку персональных данных работник обычно подписывает при оформлении на работу и предоставлении всех необходимых документов. Имеет смысл затребовать от него такое заявление до подписания приказа о приёме на работу.

Согласие на обработку персональных данных: образец

Одним из нестандартных вариантов в сфере обработки личных данных становится выдача родителями согласия образовательному учреждению на операции с личными данными их несовершеннолетнего ребенка. Разумеется, школа вынуждена использовать сведения о детях и их родителях для предоставления образовательных услуг. Выдать такое разрешение имеют право родители как законные представители несовершеннолетних детей.

Совет юриста: о согласиях на обработку персональных данных ребенка следует спрашивать обоих родителей, независимо от того, состоят ли они в официальном, гражданском браке или находятся в разводе. Исключение составляет лишение родительских прав по решению суда.

Ниже приведён примерный образец согласия, составленного обоими родителями.

Директору средней школы № 30

г. Москва

Ивановой И. И.

родителей ученика 4-В класса

Петрова Петра Петровича, 2005 г. р.,

проживающего: Харьковское шоссе, 356, кв. 2,

Матери Петровой Ирины Леонидовны,

проживающей: Харьковское шоссе, 356, кв. 2,

Отца Петрова Игоря Ивановича,

проживающегоя: Харьковское шоссе, 356, кв. 2,

Согласие на обработку персональных данных ребёнка

Настоящим заявлением мы даём разрешение администрации школы на сбор, обработку, использование и хранение персональных данных нашего ребёнка исключительно в пределах, необходимых для обеспечения образовательного процесса и смежных с ним правоотношений, связанных с социальными правами нашего ребёнка.

Передачу третьим лицам персональных данных нашего ребёнка разрешаем исключительно в случаях, предусмотренных действующим законодательством, о чём администрация должна уведомить нас в установленном порядке.

Петрова И. Л., дата.

Петров И. И., дата.

По желанию родители могут составить отдельные листы согласия на обработку персональных данных, каждый от своего имени.

Можно ли обрабатывать сведения о лице без согласия владельца?

По общему правилу обработка личной информации без добровольного согласия владельца незаконна. Исключение составляют случаи, когда информация обрабатывается без согласия владельца для защиты его жизненно важных интересов.

В некоторых случаях можно обрабатывать личную информацию без письменного согласия её владельца:

• при выдаче владельцу базы данных разрешения;
• при заключении сделки в интересах гражданина и по некоторым иным основаниям.

Какие санкции предусмотрены за нарушение порядка обращения с личной информацией?

• Дисциплинарная. Применяется к работникам, в нарушение должностных обязанностей не обеспечившим защиту персональных данных.
• Административная. Ответственность в виде штрафов довольно серьёзна и налагается на виновное лицо (на граждан - в размере от 300 до 500 руб.; на должностных лиц - от 500 до 1000 руб.; на юридических лиц - от 5000 до 10 000 руб. - в зависимости от совершённого правонарушения и правового статуса нарушителя).
• Материальная. Может наступить по решению суда, если нарушением прав лица на сохранность персональных данных ему причинен материальный или моральный ущерб.

Информация о лице защищена законом в силу её особой важности, а значит, необходимо выполнять все требования закона о защите персональных данных.

Есть заблуждение, что с персональными данными работают только мобильные операторы и банки. На самом деле это не так. Любая компания обрабатывает персональные данные как минимум своих работников, а еще контрагентов, клиентов, посетителей офисов и т.д. В статье мы рассказали, что такое персональные данные и как их правильно обрабатывать. Читайте и не нарушайте закон - с 1 июля штрафы для компаний вырастут в семь раз.

С персональными данными работает каждая компания, но не каждый юрист знает, что такое персональные данные и как их правильно обрабатывать. Если до 1 июля 2017 года это было еще не так страшно - штрафы за нарушения были невелики, то теперь ситуация изменилась. С этой даты вступают в силу поправки в КоАП РФ, которые увеличивают штрафы для компаний за нарушения при обработке персональных данных и вводят 7 новых составов правонарушений (Федеральный закон от 07.02.17 № 13-ФЗ). Штрафы будут платить не только компании, но и работники, которые нарушили закон - включая юристов. Мы решили помочь вам не нарушать закон и рассказали про азы обработки персональных данных, которые касаются каждой компании.

Какая информация относится к персональным данным

Персональные данные - это любая информация, которая прямо или косвенно относится к определенному или определяемому физическому лицу (п. 1 ст. 3 Федерального закона от 27.07.06 № 152-ФЗ «О персональных данных»; далее - Закон № 152-ФЗ). Более конкретно перечень такой информации определен в Указе Президента РФ от 06.03.97 № 188 «Об утверждении Перечня сведений конфиденциального характера»: это сведения о фактах, событиях и обстоятельствах частной жизни гражданина, которые позволяют идентифицировать его личность, за исключением сведений, подлежащих распространению в СМИ в случаях, установленных законом.

В работе юридических и кадровых служб компаний обрабатываемые персональные данные обычно включает в себя следующие сведения о лице:

• фамилия, имя, отчество;
• год, месяц, дата и место рождения;
• адрес;
• семейное, социальное, имущественное положение;
• образование, профессия, должность, доходы;
• биометрические персональные данные.

Судебная практика расширяет перечень персональных данных. Например, суды признавали персональными данными:

• сведения о смерти гражданина (постановление АС Поволжского округа от 25.09.14 по делу № А49-2005/2014);
• номер мобильного телефона (апелляционное определение Алтайского краевого суда от 01.10.13 по делу №33-9241/2015);
• фотографии гражданина (апелляционное определение Свердловского областного суда от 09.04.15 по делу № 33-5232/2015).

В последнее время есть явная тенденция - перечень сведений, которые составляют персональные данные, становится все шире. Так, Европейский суд справедливости в Решении от 19.10.16 по делу № 582/14 (Патрик Брейр против Германии) признал, что при определенных условиях даже IP-адрес интернет-пользователя может признаваться персональными данными.

Что такое обработка персональных данных

Обработка персональных данных - это любое действие с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление и уничтожение (п. 3 ст. 3 Закона № 152-ФЗ).

Например, компания обрабатывает персональные данные, если собирает анкеты клиентов (в бумажном виде или через сайт), ведет и хранит клиентскую базу, передает контакты клиентов в call-центр, фиксирует паспортные данные посетителей офиса на контрольно-пропускном пункте и т.д. Фактически персональные данные обрабатывает любая компания.

Nota bene!
Дополнительные условия для обработки персональных данных соискателей и работников установлены гл. 14 ТК РФ и разъяснениями Роскомнадзора от 14.12.12 «Вопросы, касающиеся обработки персональных данных работников, соискателей на замещение вакантных должностей, а также лиц, находящихся в кадровом резерве».

Когда нужно уведомлять Роскомнадзор

Если компания обрабатывает персональные данные, она является оператором (п. 2 ст. 3 Закона № 152-ФЗ). Оператор до начала обработки персональных данных обязан уведомить Роскомнадзор о своем намерении (п. 1 ст. 22 Закона № 152-ФЗ).

Направлять уведомление не требуется (п. 2 ст. 22 Закона № 152-ФЗ), если компания-оператор обрабатывает персональные данные, в частности:

• только своих работников;
• для целей заключения и исполнения договоров (например, персональные данные контрагентов);
• для однократного пропуска лица на территорию компании;
• без использования средств автоматизации (персональные данные используют, уточняют, распространяют и уничтожают при непосредственном участии человека - см. Постановление Правительства РФ от 15.09.08 № 687).

Проверьте, подпадает ли компания под исключения, которые указаны в Законе № 152-ФЗ. Если нет - составьте уведомление по официальной форме (Приложение № 2 к административному регламенту, утв. Приказом Минкомсвязи России от 21.12.11 № 346). Затем направьте его в территориальный орган Роскомнадзора по месту регистрации компании. Отправить уведомление можно как на бумажном носителе, так и в форме электронного документа через портал «Госуслуги» (gosuslugi.ru) или официальный сайт Роскомнадзора (pd.rkn.gov.ru/).

Роскомнадзор внесет сведения о компании в реестр операторов в течение 30 дней с даты поступления уведомления. Проверить, включена ли компания в реестр, можно на официальном сайте ведомства (pd.rkn.gov.ru/).

Как правильно собирать персональные данные

По общему правилу, чтобы собирать персональные данные, нужно получить согласие их владельца - субъекта персональных данных (пп. 1 п. 1 ст. 6 Закона № 152-ФЗ). Согласие должно быть конкретным, информированным и сознательным (п. 1 ст. 9 Закон № 152-ФЗ). Это значит, что перечень оснований для обработки персональных данных должен быть указан как можно более конкретно, а также содержать срок обработки и порядок отзыва согласия (постановление АС Уральского округа от 29.09.14 по делу № А60-31459/2013, постановление Пятого ААС от 13.08.14 по делу № А59-48/2014).

Закон не устанавливает форму согласия на обработку персональных данных, за исключением особых сведений. Субъект может дать согласие в любой форме, которая позволит подтвердить факт его получения (п. 1 ст. 9 Закона № 152-ФЗ). В частности, согласие может быть выражено в электронной форме путем заполнения анкеты на сайте (постановление ФАС Северо-Западного округа от 13.12.10 по делу № А56-73636/2009, апелляционное определение Омского областного суда от 07.08.13 по делу № 33-5139/2013).

СНОСКА
Письменное согласие субъекта нужно для обработки специальных категорий персональных данных - например, о национальной принадлежности и состоянии здоровья лица (ст. 10 Закона № 152-ФЗ). Согласие можно получить на бумажном носителе или в электронной форме с усиленной квалифицированной электронной подписью.

Получать согласие на обработку в типовой форме договора рискованно, если пункт о согласии просто включен в текст. Суд может признать такой способ ненадлежащим, если потребитель не может изменить это условие - например, сделать отметку о своем согласии или отказе (постановление АС Северо-Западного округа от 18.07.16 по делу № А44-9647/2015, постановление АС Уральского округа от 22.12.16 по делу № А76-5164/2016).

В случае проверки или судебного спора именно оператор обязан доказать, что получит согласие на обработку персональных данных (п. 3 ст. 9 Закона № 152-ФЗ). Поэтому заранее определите, какой тип персональных данных обрабатывает ваша компания. В зависимости от этого разработайте форму получения согласия на обработку. Важный момент - субъект вправе в любое время отозвать свое согласие (п. 2 ст. 9 Закона № 152-ФЗ). Если в компанию поступило такое обращение - она обязана прекратить обработку персональных данных.

Nota bene!
Согласие на обработку персональных данных не нужно, если субъект сам сделал их общедоступными. Например, при регистрации на форуме или в социальной сети. Если субъект потом отзовет согласие на обработку - его можно не учитывать (пп. 10 п. 1 ст. 6, пп. 2 п. 2 ст. 10 Закона).

Как получить согласие у работников

Работников надо ознакомить под роспись с документами компании, которые устанавливают порядок обработки персональных данных, а также их права и обязанности в этой сфере (п. 8 ст. 86 ТК РФ). Такой порядок можно прописать в самом трудовом договоре, приложениях к нему, правилах внутреннего трудового распорядка или других локальных актах - например, политике компании об обработке персональных данных. Факт ознакомления работников с этими документами нужно отдельно фиксировать - например, в специальном журнале.

СНОСКА
За нарушения при обработке персональных данных работников компанию могут привлечь к ответственности по ст. 5.27 КоАП РФ (до 80 тыс рублей штрафа).

Согласие работника на обработку персональных данных не нужно в следующих случаях (см. разъяснения Роскомнадзора от 14.12.12 «Вопросы, касающиеся обработки персональных данных работников, соискателей…»):

• обработка персональных данных близких родственников работника в объеме, предусмотренном личной карточкой по форме Т-2;
• получение мотивированных запросов от прокуратуры, правоохранительных органов, органов безопасности, государственных инспекторов труда;
• обработка нужна для исполнения заключенного с работником договора или возложенных на работодателя обязанностей;
• обработка связана с выполнением работником его трудовых обязанностей, в том числе, при отправлении его в командировки.

Как обеспечить безопасность персональных данных

Персональные данные относятся к конфиденциальным сведениям (ст. 7 Закона № 152-ФЗ). Операторы и иные лица, получившие к ним доступ, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта. Оператор обязан обеспечить безопасность персональных данных. Меры зависят от способа обработки данных - с использованием средств автоматизации или вручную.

Если компания ведет автоматизированную обработку персональных данных, на нее распространяются Требования к защите персональных данных при их обработке в информационных системах, утв. постановлением Правительства РФ от 01.11.12 № 1119 и Приказ ФСТЭК России от 18.02.13 № 21. Чтобы выполнить эти требования, нужно привлекать IT-специалистов.

Для защиты персональных данных без автоматизации предусмотрены рекомендательные меры (ст. 19 Закона № 152-ФЗ и п. 13-15 Положения, утв. постановлением Правительства РФ от 15.09.08 № 687). Одна из таких мер - определить во внутренних документах компании перечень лиц, которые обрабатывают персональные данные или имеют к ним доступ. Можно обеспечить безопасность данных, если раздельно хранить носители персональных данных, которые обрабатываются в различных целях (например, раздельно хранить данные работников, посетителей офисов и клиентов).

Что и кому грозит за нарушения в сфере персональных данных

За нарушения при обработке персональных данных компанию могут привлечь к гражданско-правовой и административной ответственности по ст. 13.11 КоАП РФ. До 1 июля 2017 года максимальным наказанием для должностного лица был штраф в 1 тысячу рублей, а для компании - до 10 тысяч рублей.

С 1 июля 2017 года вступают в силу поправки, которые усиливают административную ответственность (Федеральный закон от 07.02.17 № 13-ФЗ). Поправки вводят дополнительные составы правонарушений в ст. 13.11 КоАП РФ и увеличивают штрафы. В частности, закон вводит ответственность юридических лиц за следующие нарушения:

• обработку персональных данных в случаях, не предусмотренных законом (ч. 1 ст. 13.11 КоАП РФ) - штраф от 30 тыс до 50 тыс рублей;
• обработку персональных данных без согласия в письменной форме, когда закон требует получить такое согласие (ч. 2 ст. 13.11 КоАП РФ) - штраф от 15 до 70 тыс рублей;
• неопубликование оператором политики в отношении обработки персональных данных, когда такая обязанность предусмотрена законом (ч. 3 ст. 13.11 КоАП РФ) - штраф от 15 до 30 тысяч рублей.

Работника могут привлечь к административной ответственности, но не только. Дополнительно он несет материальную (п. 7 ст. 243 ТК РФ) дисциплинарную (пп. «в» п. 6 ч. 1 ст. 81 ТК РФ) и даже уголовную ответственность (ч. 2 ст. 137 УК РФ).

К ответственности привлекут как работника-нарушителя (например, скопировавшего базу клиентов на свою флешку и передавшего ее конкуренту), так и работника, который несет ответственность за обработку персональных данных в компании.

Поступая на работу, новый сотрудник предоставляет работодателю колоссальное количество личной информации. Частично это объясняется производственной необходимостью. Независимо от характера предоставляемых данных, они должны храниться должным образом и быть качественно защищены. Если этого не происходит и личная информация работников разглашается, то сотрудникам оказывается нанесен существенный ущерб (как их достоинству, так и личной безопасности). Поэтому важно подробнее рассмотреть понятие "персональные данные". Что к ним относится? Каким образом их необходимо хранить? Какие существуют методы защиты персональных данных? Кто регулирует процесс их хранения и обработки? Ответы на эти и некоторые другие вопросы будут предоставлены непосредственно в этой статье. Будьте максимально внимательны.

Закон о персональных данных

Разнообразные нормативно-правовые акты предоставляют различные определения понятия "персональные данные сотрудника". Для того чтобы понять, что именно подразумевается, необходимо соотнести их разнообразные положения. Их законодательным основанием является закон "О персональных данных" и ряд норм, содержащихся в Конституции Российской Федерации.

Итак, что можно сказать об информации, которую собирают у сотрудников предприятия? Такие работники становятся субъектами персональных данных. К такого рода информации относят следующие данные: Ф.И.О., данные о рождении, семейный статус, место жительства, общественный статус, информация об актуальных доходах, данные об образовании и так далее.

Эти данные относятся к типу информации с ограниченным доступом, ведь законодательно подтверждено, что никто не может подвергаться вмешательству в его личную жизнь. Это относится и к персональным данным.

Такая информация необходима для того, чтобы эффективно идентифицировать личность гражданина. А если речь идет о сотруднике, то персональные данные предоставляют сведения о нем как профессионале в определенной сфере деятельности. Поэтому логично, что к личной информации работника относятся только те сведения, которые имеют отношение к его профессиональному потенциалу и особенностями исполнения им его трудовых обязанностей.

Конституция Российской Федерации гарантирует гражданам конфиденциальность их личной жизни. И персональная информация имеет к ней прямое отношение. Это определено соответствующим Указом президента Российской Федерации, который утверждает конфиденциальный характер такого рода информации и закрепляет отсутствие доступа к ней для общественности.

В то же время Трудовой кодекс Российской Федерации предоставляет достаточно узкое определение рассматриваемого понятия. Он утверждает, что персональные данные сотрудника - это информация, которая необходима его руководителю в связи с исполнением его прямых профессиональных обязанностей и которая имеет отношение исключительно к определенному работнику.

Обработка персональных данных

Для чего нужно обрабатывать и хранить персональные данные? Они необходимы для того, чтобы правильным образом реализовывать трудовую активность предприятия.

Цели их обработки следующие:

• факт приема на работу;
• основание для карьерного продвижения;
• осуществление выплат заработной платы;
• контроль реализации выполнения работы.

Существует ряд методов защиты личной информации. Работники имеют полное право знать, как именно хранятся и используются их персональные данные. Ознакомить сотрудников с этой информацией - это обязанность руководителей. Факт уведомления работники подтверждают личной подписью.

Типы персональных данных

То, какая именно личная информация о работниках должна быть собрана, определяется Трудовым кодексом, Конституцией Российской Федерации и рядом федеральных законов. Так, являются необходимыми два вида документов. Первый - бумаги, которые связаны с подачей трудового договора. Второй - документация, запрашиваемая или формируемая работодателем непосредственно.

Так, персональные данные классифицируются по следующим признакам:

Степень доступа

• Общедоступные. Доступны широкому кругу лиц.
• Конфиденциальные. Доступны только тем, кому сотрудник позволил.

Направление

• Специальные. Личная жизнь, наличие судимости, религиозные взгляды, политические убеждения.
• Обычные. Все, что не относится к специальным данным.

• Биометрические. Характеризуют физиологию.
• Не биометрические. Данные, которые не относятся к биометрическим.

Виды персональных данных

На какие типы подразделяются персональные данные? Что к ним относится?

Важно понимать, что вся информация, которая хранится на предприятии в отношении определенного сотрудника, может быть рассмотрена с двух разных точек зрения.

• Данные о семейном положении и семье работника (отдельных ее членах), а именно: наличие иждивенцев, наличие детей, их возраст и количество, состояние здоровья.
• Информация об определенном сотруднике, а именно: ФИО (паспорт), профессия, состояние здоровья, а также какие-нибудь особенные обстоятельства.

Руководитель предприятия обязан сформировать нормативно-правовой акт локального значения, который рассматривает порядок, определяющий хранение персональных данных. Он может быть представлен в разном виде. Например, им может являться Положение о персональных данных.

Итак, обсудим один из нюансов подробнее. Персональные данные: что к ним относится? Информация, содержащаяся в личных делах. Речь идет о следующем:

• данные паспорта (место и год рождения и так далее);
• копия диплома;
• копия документов, которые подтверждают наличие специальных навыков и знаний;
• копия документов пенсионного госстраха;
• иные документы.

Итак, подведем итог, что подразумевает понятие персональные данные? Что к ним относится? Это личная информация о работнике, которая необходима работодателю для того, чтобы наиболее эффективно использовать потенциал и умения сотрудника. Последний, конечно же, должен дать свое согласие на обработку персональных данных. Если все формальности соблюдены, то информация останется максимально защищенной.

Ответственность за разглашение

Важно учесть, что 152 ФЗ "О защите персональных данных" предусматривает только административную ответственность предприятия за разглашение персональных данных сотрудника. А значит, если организация не способна гарантировать работникам абсолютную защиту их личной информации, то ее ожидает только штраф. Причем суммы денежного наказания за неправильное хранение персональных данных абсолютно смешные. В общем, они колеблются от пяти до десяти тысяч рублей. Конечно, это так, если речь идет только об одиночных выплатах. Как правило, на предприятиях, где есть такого рода проблемы, нарушения множественные, а значит, и суммы штрафа существенно возрастают.

Однако денежные затраты - далеко не самое главное последствие того, что использование персональных данных происходит неправильным образом. Это сильно бьет по репутации компании. Ведь когда сотрудники дают свое согласие на обработку персональных данных, они рассчитывают, что их сохранность гарантирована. Если выясняется иное, такие кадры отказываются иметь дело с фирмой такого рода. Компания теряет возможность нанимать профессионалов.

Как Роскомнадзор проверяет защиту персональных данных

В данном случае нас интересует 152 ФЗ "О защите персональных данных". Именно он является законодательной базой для реализации данной функции.

Обычно Роскомнадзор проверяет три основных направления рассматриваемой сферы:

• Средства массовой информации.
• Связь.
• Защита персональных данных.

Положение о персональных данных рекомендует Роскомнадзору проводить такого рода проверки как минимум трижды в год. Это правило действует, если речь идет о плановых проверках. Внеплановые же производятся по мере необходимости. Каковы могут быть для этого причины? Например, если плановый аудит осуществлялся достаточно давно. Или если потребуется удостовериться в том, что прошлые замечания были учтены и были внесены необходимые изменения.

Правила хранения персональных данных

На каждом предприятии обязательно должны быть разработанный специальные правила, регламентирующие то, как хранятся и используются персональные данные сотрудников. Существует несколько вариантов того, как именно описанный документ может быть оформлен. Это может быть как отдельное положение, так и раздел, включенный в локальные Правила внутреннего распорядка. Каждый сотрудник имеет право принимать участие в процессе разработки и проведения мероприятий по защите персональных данных. Именно поэтому всех работников необходимо тщательно ознакомить с описанным документом.

Потребуется составить перечень персональных данных и список сотрудников, а также сформировать шаблон документа. Его должны подписать все, кто работает на предприятии.

Физическое хранение

Существуют разные способы хранения данных. Некоторые не готовы переходить к электронным архивам, а значит, предпочитают вести дела традиционным образом (то есть на бумаге). Суть метода в том, чтобы хранить все данные о сотрудниках, его личные документы и копии в буквальной папке, которая называется личным делом.

Каковы преимущества такого типа ведения личных дел? Среди них выделяют следующие:

• всю информацию просто найти, так как она располагается в одном месте;
• данные можно легко систематизировать;
• поиск информации занимает максимально короткое время.

Однако такой метод имеет и некоторые минусы. Например, следующие:

• наличие дополнительных ресурсов для хранения, таких как специальные помещения, оборудование, сейфы и так далее;
• трудоемкость процесса;
• требуются специальные навыки для ведения бумажной документации.

Иногда отделы кадров предпочитают хранить информацию об одном сотруднике раздельно (в различных тематических папках). Так, отдельно хранятся все трудовые договоры, анкеты и прочие документы по всем работникам сразу. Их нумеруют для более удобного поиска. Этот способ менее трудозатратен, чем тот, что был описан выше, да и не требует никаких специальных навыков от сотрудника отдела кадров.

Тем не менее и он не лишен недостатков. Среди них выделяют следующие:

• большое количество времени требуется для того, чтобы отыскать нужные данные о конкретном работнике;
• риск утечки конфиденциальной информации существенно повышается.

Хранение в электронном виде

В описываемом случае отделы кадров предпочитают применять электронные базы данных и разнообразные информационные системы. Часто это гарантирует обеспечение безопасности персональных данных.

Каковы преимущества такого типа хранения информации? Далее будут перечислены основные из них:

• нет необходимости иметь большой архив;
• существенная экономия пространства;
• нет никаких ограничений по срокам хранения;
• обрабатывать персональные данные удобно, и для этого не потребуется много времени;
• несанкционированный доступ к данным практически исключен;
• не нужны никакие дополнительные ресурсы.

Выделяют, конечно же, и некоторые минусы. Например, следующие:

• потребность хранить резервные копии всей базы данных;
• необходим специалист, который займется администрированием системы информации;
• потребуются расходы на специально предназначенное для этого оборудование и программное обеспечение;
• сотрудник, который обрабатывает персональные данные, должен быть исключительно грамотен.

Какие именно методы применяют для того, чтобы эффективно защитить персональную информацию сотрудников?

• Сделать помещения, в которых обрабатываются личные данные, полностью закрытыми для доступа других сотрудников.
• Для получения какой-либо информации сотрудники должны получить специальное разрешение.
• Хранение данных должно быть четко организовано.

Учитывая наличие и недостатков, и преимуществ у каждого из методов, как правило, работодатели комбинируют их. Не имеет значения, какой именно способ хранения информации используется, работодатель, так или иначе, обязан получить согласие сотрудника на обработку его личной информации.

Вывод

Персональные данные - конфиденциальная информация, которая может быть собрана работодателем с целью идентификации личности сотрудника, а также для определения уровня квалификации работника и его профессионального потенциала. Существует несколько способов хранения и обработки личной информации (она может быть зафиксирована на бумаге или электронных носителях, в зависимости от предпочтений сотрудников отдела кадров и возможностей предприятия). Защита персональных данных должна стать первоочередной задачей соответствующего отдела, так как это право сотрудника, которое гарантируется ему Конституцией Российской Федерации. Важно хорошо знать свои права, чтобы иметь возможность защитить себя в спорной ситуации.

Информация о личности человека, включающая персональные данные, защищена законодательно . В России запрещено передавать информацию о человеке посторонним без его ведома. За это предусмотрено наказание – и административное, и уголовное! Кадровик рискует быть привлечённым к ответственности, если законные требования о защите личной информации будут нарушены . Давайте до тонкостей разберём, что такое персональные данные работника, понятие и их защита.

Нормативная база

Основной закон, регулирующий защиту информации о работнике – ФЗ №152 от 27.07.2006г. Закон разъясняет, как должна обрабатываться личная информация. Обработка в нашем случае – это сбор документов работника (личных документов и приказов по работе), формирование личного дела и работа с кадровыми компьютерными программами, куда заносится личная информация.

Предоставление персональных данных

Предоставление личных данных – это передача отчётов с личной информацией в органы, которые имеют право таковую запрашивать . Например, в службы статистики или военкомат.

По смыслу закона оператор (в нашем случае – кадровик), который формирует личные дела работников, имеет прямой доступ к персональным данным всех работников организации, а поэтому несёт личную ответственность в случае разглашения личной информации.

В случае умышленного или нечаянного разглашения личной информации, оператор может быть привлечён к ответственности аж по трём кодексам:

• трудовой (ТК);
• административный (КоАП);
• уголовный (УК).

Ответственность и наказание по ТК:

• увольнение по п. «в» ст.90 за разглашение информации;
• замечание, выговор или увольнение по ст.192 – за некачественное исполнение обязанностей.

Ответственность по КоАП:

• штраф в размере 500 – 1000 рублей (требования ст.13.11 – за нарушение закона);
• штраф в размере 2500 – 3000 рублей (требования ст.13.12 – если используются несертифицированные компьютерные программы).

Ответственность по УК:

• штраф от 100 до 300 тысяч рублей , или в размере двухгодовой зарплаты, или лишение права заниматься кадровой работой на срок до 5-ти лет, а также возможно привлечение к принудительным работам до 4 лет, или арест до полугода. Также можно лишиться свободы на срок до 4-х лет – по части 2 ст.137 – за сбор должностным лицом личной информации без согласия.

Как видите – наказания серьёзные, так что не рискуйте и приведите кадровую работу в соответствие со 152 законом.

Что входит в персональные данные работника

Персональные данные по понятию законодателя, это любая информация, косвенно или прямо относящаяся к работнику. Кадровику доступны такие личные данные:

• адрес;
• телефон;
• паспортные данные;
• семейное положение;
• должность и профессия;
• размер зарплаты;
• номер страхового пенсионного свидетельства;
• личные данные о воинском учёте;
• место работы;
• сведения о стаже и местах работы;
• сведения об основаниях увольнения с прошлых мест работы;
• сведения о долгах (по алиментам или кредитам);
• данные о здоровье (инвалидности).

Вот такую информацию о работниках вам нужно правильно защитить.

Защита персональных данных работника

В документах отдела кадров по номенклатуре обязательно должно присутствовать Положение о персональных данных работников. Этот локальный акт в точности должен соответствовать 152-му закону. О том, как составить и утвердить положение, будет разъяснено в отдельной статье, а пока вернёмся к требованиям закона.

19-я статья Закона и Требования к защите данных обязывает кадровика к следующим мерам по защите информации:

• личные дела работников не должны быть доступны посторонним лицам (нужно хранить их в сейфе);
• кадровые компьютерные программы должны быть легальными и сертифицированными;
• экран компьютера, на котором установлена кадровая программа, не должен быть в прямой видимости посторонних лиц, как и сам компьютер не должен использоваться посторонними;
• используемый кадровиком компьютер не должен иметь выход в интернет во избежание вирусных угроз и похищения информации;
• кадровик должен быть назначен ответственным за хранение и обработку персональных данных приказом начальства;
• все флешки, диски или дискеты, как и бумажные документы, содержащие личную информацию, должны быть учтены в реестре и храниться в сейфе;
• нельзя передавать личную информацию (в том числе сканы или копии документов) по факсу, электронной почте или по телефону.

Обратите внимание: каждый кадровик в качестве черновиков использует ненужные документы. Если на документе есть личная информация (например, вы делаете записи на обратной стороне копии чьего-то паспорта) – не оставляйте его на столе, не передавайте кому-либо, не выкидывайте в мусор! Лучше все ненужные документы с данными сразу уничтожать .

Согласие работника на обработку персональных данных

Статья 6 Закона разъясняет, при каких условиях должна обрабатываться личная информация:каждый работник обязательно должен письменно согласиться с обработкой его данных. Согласие работника архиважно, не забывайте об этом! В законе работника обозвали «субъектом персональных данных», от которого просто необходимо получить письменное согласие на обработку его личной информации. Всё о согласии расписано в 9 статье закона.

Основное правило получения согласия – подпись на документе о согласии должна быть лично работника или его представителя по доверенности (доверенность должна быть приложена к документу).

Документ о согласии должен включать:

• ФИО, адрес, серия, номер, дата и место выдачи паспорта работника (и представителя, если имеется доверенность);
• ФИО, должность и место работы кадровика;
• цель обработки данных;
• список личных данных;
• список действий, которые будет производить кадровик с данными;
• срок действия согласия (срок трудового договора);
• подпись работника с расшифровкой.

Работа кадровика интересная, но не стоит забывать об ответственности . Для того, чтобы вы не попали в неприятную ситуацию, тут и рассмотрены вопросы – что такое персональные данные работника, понятие и их защита.

В век новых технологий и интернета любая информация распространяется с огромной скоростью. Социальные сети здорово «помогают» процессу, делая общедоступными персональные данные гражданина . Чаще всего личную информацию предоставляют при устройстве на работу. Для этого существует закон об обработке персональных данных в организации. Этот закон и обсудим в статье.

Дорогие читатели! Наши статьи рассказывают о типовых способах решения юридических вопросов, но каждый случай носит уникальный характер.

Если вы хотите узнать, как решить именно Вашу проблему - обращайтесь через онлайн-консультант справа или звоните по телефонам бесплатной консультации :

Что значит обработка?

Любой человек может ознакомиться с информацией об ином гражданине, как при выполнении , так и при нерабочем общении, в ходе просмотра интернет — страниц, а также чтения газеты. Этот (специальный или неспециальный) сбор информации не имеет отношения к обработке персональных данных: ознакомился, прочитал и забыл, скорее всего.

Если же личные данные специально собираются, чтобы их использовать и хранить, то такое действие уже означает обработку персональных данных. Данный процесс происходит чаще всего в учебных учреждениях и больницах: необходимая информация регистрируется, фиксируется в базах, а также классифицируется, чтобы потом ее использовать в законных целях .

Относится ли заработная плата к персональным данным читайте в нашей статье .

Если сведения собирает писатель или журналист, то он вправе обрабатывать личные данные в творческих целях.

Личная информация обрабатывается двумя способами: автоматизировано и неавтоматизировано.

Неавтоматизированной считается та обработка, которую производят с личным участием гражданина.

Если личные данные проходят обработку без средств автоматизации, то их необходимо отделять от прочих сведений. Можно это сделать путем их отметки, к примеру, на полях бланков. Строго не разрешается помещать на единый носитель личные данные , если известно заранее, что цели их обработки несовместимы.

Если личная информация граждан относится к разным категориям, то необходимо для каждого вида применять индивидуальный носитель.

Два следующих пункта ведут к ответу на вопрос, какие системы можно считать автоматизированными, а которые таковыми не являются. Рассмотрим их подробно:

• Личные данные, которые содержатся в системе персональных данных, могут считаться обработанными с помощью неавтоматизированного процесса, если их использование уничтожение производятся при личном присутствии гражданина.
• Нельзя подтвердить тот факт, что данные были автоматизировано обработаны, основываясь только на том, что они существуют в информационной системе персональной информации.

Автоматизированная обработка личных сведений – это обработка персональной информации с применением вычислительных средств.

Такая обработка может включать в себя некоторые процессы, которые производятся с помощью автоматизированных средств : применение математических операций с этими показателями, а также их корректировка и избавление от них.

Обработкой личных данных называется любое действие, которое осуществляется с предоставленной информацией. Обработкой личных данных считаются следующие действия:

• сбор;
• фиксирование;
• использование;
• уничтожение.

Правила и порядок работы

Личные данные трудящегося , которые необходимы руководителю, состоят из нескольких пунктов:

• Информация об образовании.
• Информация о опыте, а также месте работы, где гражданин прежде трудился и какую должность занимал.
• Краткая информация о членах семьи и их рабочих местах.
• Информация об имеющихся заболеваниях и о здоровье в целом.

В ходе обработки данных трудящегося организации (получении, передачи, и прочем применении) работники кадрового отдела должны придерживаться определенных правил:

Зачем нужно согласие?

Согласие на обработку личной информации — это новшество законодательства, которое защищает персональные данные гражданина от нежелательного использования.

Данное согласие необходимо при устройстве на работу, оформления счета в банке, и прочих важных обстоятельствах. Конкретной формы согласия не существует. Его можно оформить в произвольной форме на бланке, который использует предприятие.

Срок, в течение которого согласие будет действительно, указывается непосредственно в самом документе.

Ответственный за персональные данные в организации

Сотрудника, который будет отвечать за получение, обработку и хранение личной информации назначает директор организации.

Также он может назначить определенных лиц, которые будут иметь доступ к персональным данным . Этот документ лучше всего оформить отдельным . Обычно, за всю работу от начала до конца с персональными данными (сбор, обработку и хранение) отвечают следующие лица:

Образец приказа об ответственных лицах за персональные данные в организации можете скачать .

1. Руководитель кадрового отдела.
2. Кадровый инспектор.
3. Руководитель по персоналу.
4. Заместитель руководителя по персоналу.
5. Специалист по работе с персоналом.
6. Либо допускается введение иной должности.

Учитывая законодательство (Закон №152) сотрудник, который собирает и обрабатывает личные сведения, считается оператором. В данном случае оператором считается руководитель.

Передача и хранение

Хранение важных бумаг, в которых содержатся личные сведения о сотрудниках, происходит в огнеупорных шкафах , т.е. сейфах. Ключи от сейфа должны находиться все время у директора кадрового отдела. Если директор в какой-то из дней отсутствует, то ключи должны быть у его заместителя.

Если необходимо передать личные данные трудящегося, то работник кадрового отдела обязан придерживаться определенных правил :

• Нельзя предоставлять третьему лицу личную информацию о трудящемся без его согласия в письменном виде.

Исключения могут быть в случае, когда информация нужна для предотвращения вреда для здоровья сотрудника и в случаях, которые закреплены законодательством. Кроме этого нельзя разглашать персональные данные сотрудника в коммерческих целях без его разрешения.

• Если приходится передавать личные сведения сотрудников, то нужно сообщить тем, для кого предназначается эта информация, что данные сведения можно применять только в тех целях, для которых давался запрос.
• Работник кадрового отдела имеет право доступа исключительно к той информации, которая нужна, чтобы выполнять рабочие обязанности.
• Работник кадрового отдела не имеет таких полномочий, чтобы выяснять информацию о состоянии здоровья сотрудника.

Исключением могут быть такие обстоятельства, которые имеют отношение к вопросу о выполнении трудящимся своих должностных обязанностей.

Если какие-либо работники будут уличены в нарушениях порядка сбора, обработки и выдачи личных данных работника организации, то данные лица понесут дисциплинарную и уголовную ответственность согласно Федеральному законодательству.

В статье 5 ФЗ говорится что, личные данные, которые собирают для их обработки принципами автоматизации, либо с использованием других средств, необходимо производить в таком виде, чтобы благодаря ему можно было вычислить субъекта этих данных.

При этом определение субъекта не должно быть продолжительнее, чем это нужно для обработки. И, если обработка была произведена, то уничтожению персональные данные не подлежат определенное время .

Руководитель должен знать об определенных сроках, которые требуются для сохранности некоторой информации. А персональные данные сотрудника необходимо хранить в течение 75 лет .

Узнайте общий порядок организации и перечень действий обработки персональных данных на предприятии из ролика: