Работа с персональными данными

Окончание. Начало – в № 29 «А-Э».

Права работников

В соответствии со ст. 89 ТК РФ работники имеют право на:

– полную информацию об их персональных данных и обработке этих данных;

– свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные работника, за исключением случаев, предусмотренных федеральным законом;

– определение своих представителей для защиты своих персональных данных;

– доступ к медицинской документации, отражающей состояние их здоровья, с помощью медицинского работника по их выбору;

– требование об исключении или исправлении неверных или неполных персональных данных, а также данных, обработанных с нарушением требований ТК РФ или иного федерального закона.

При отказе работодателя исключить или исправить персональные данные работника он имеет право заявить в письменной форме работодателю о своем несогласии с соответствующим обоснованием такого несогласия.

Персональные данные оценочного характера работник имеет право дополнить заявлением, выражающим его собственную точку зрения;

– требование об извещении работодателем всех лиц, которым ранее были сообщены неверные или неполные персональные данные работника, обо всех произведенных в них исключениях, исправлениях или дополнениях;

– обжалование в суд любых неправомерных действий или бездействия работодателя при обработке и защите его персональных данных.

Обработка персональных данных

Под обработкой персональных данных в Законе № 152-ФЗ подразумевается любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Особенности обработки персональных данных, осуществляемой без использования средств автоматизации, определены одноименным Положением, утвержденным постановлением Прави-тельства РФ от 15.09.2008 г. № 687.

Обработка персональных данных, содержащихся в информационной системе персональных данных либо извлеченных из такой системы, считается осуществленной без использования средств автоматизации (неавтоматизированной), если такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются при непосредственном участии человека.

Поскольку кадровое делопроизводство осуществляется при непосредственном участии человека, всем компаниям нужно руководствоваться Постановлением № 687 независимо от того, что при этом используются компьютеры.

При использовании типовых форм документов, характер информации в которых предполагает или допускает включение в них персональных данных, должны соблюдаться следующие условия:

а) типовая форма или связанные с ней документы (инструкция по ее заполнению, карточки, реестры и журналы) должны содержать:

– сведения о цели обработки персональных данных, осуществляемой без использования средств автоматизации;

– имя (наименование) и адрес оператора (работодателя);

– фамилию, имя, отчество и адрес субъекта персональных данных (работника);

– источник получения персональных данных;

– сроки обработки персональных данных;

– перечень действий с персональными данными, которые будут совершаться в процессе их обработки;

– общее описание используемых оператором способов обработки персональных данных;

б) типовая форма должна предусматривать поле, в котором работник может поставить отметку о своем согласии на обработку персональных данных, осуществляемую без использования средств автоматизации, – при необходимости получения письменного согласия на обработку персональных данных;

в) типовая форма должна быть составлена таким образом, чтобы каждый из работников, содержащихся в документе, имел возможность ознакомиться со своими персональными данными, содержащимися в документе, не нарушая прав и законных интересов иных работников;

г) типовая форма должна исключать объединение полей, предназначенных для внесения персональных данных, цели обработки которых заведомо не совместимы.

Обработка персональных данных, осуществляемая без использования средств автоматизации, должна осуществляться таким образом, чтобы в отношении каждой категории персональных данных можно было определить места хранения персональных данных (материальных носителей) и установить перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ.

Необходимо обеспечивать раздельное хранение персональных данных (материальных носителей), обработка которых осуществляется в различных целях.

При хранении материальных носителей должны соблюдаться условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный к ним доступ.

Работодатель должен установить перечень мер, необходимых для обеспечения таких условий, порядок их принятия, а также перечень лиц, ответственных за реализацию указанных мер.

А ст. 88 ТК РФ обязывает работодателя осуществлять передачу персональных данных работника в пределах одной организации, у одного индивидуального предпринимателя в соответствии с локальным нормативным актом, с которым работник должен быть ознакомлен под роспись, разрешать доступ к персональным данным работников только специально уполномоченным лицам.

При этом указанные лица должны иметь право получать только те персональные данные работника, которые необходимы для выполнения конкретных функций.

То есть работодателю нужно утвердить список лиц, допущенных к работе с персональными данными.

При разработке Положения о персональных данных работников и их обработке нужно указать:

– сведения, которые относятся к персональным данным;

– порядок обработки персональных данных;

– порядок хранения персональных данных;

– режим доступа к персональным данным;

– порядок передачи персональных данных;

– порядок уничтожения персональных данных;

– порядок ознакомления работников с персональными данными;

– ответственность за разглашение персональных данных, которая установлена ст. 13.11 КоАП РФ.

Обработка персональных данных в случаях, не предусмотренных законодательством РФ в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, если эти действия не содержат уголовно наказуемого деяния, влечет предупреждение или наложение административного штрафа на граждан в размере от 1 000 до 3 000 рублей; на должностных лиц – от 5 000 до 10 000 рублей; на юридических лиц – от 30 000 до 50 000 рублей.

Обработка персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных в случаях, когда такое согласие должно быть получено в соответствии с законодательством РФ в области персональных данных, если эти действия не содержат уголовно наказуемого деяния, либо обработка персональных данных с нарушением установленных законодательством РФ в области персональных данных требований к составу сведений, включаемых в согласие в письменной форме субъекта персональных данных на обработку его персональных данных, влечет наложение административного штрафа на граждан в размере от 3 000 до 5 000 рублей; на должностных лиц – от 10 000 до 20 000 рублей; на юридических лиц – от 15 000 до 75 000 рублей.

Невыполнение оператором предусмотренной законодательством РФ в области персональных данных обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора в отношении обработки персональных данных, или сведениям о реализуемых требованиях к защите персональных данных влечет предупреждение или наложение административного штрафа на граждан в размере от 700 до 1 500 рублей; на должностных лиц – от 3 000 до 6 000 рублей; на индивидуальных предпринимателей – от 5 000 до 10 000 рублей; на юридических лиц – от 15 000 до 30 000 рублей.

Невыполнение оператором предусмотренной законодательством РФ в области персональных данных обязанности по предоставлению субъекту персональных данных информации, касающейся обработки его персональных данных, влечет предупреждение или наложение административного штрафа на граждан в размере от 1 000 до 2 000 рублей; на должностных лиц – от 4 000 до 6 000 рублей; на индивидуальных предпринимателей – от 10 000 до 15 000 рублей; на юридических лиц – от 20 000 до 40 000 рублей.

Невыполнение оператором в сроки, установленные законодательством РФ в области персональных данных, требования субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных об уточнении персональных данных, их блокировании или уничтожении в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, влечет предупреждение или наложение административного штрафа на граждан в размере от 1 000 до 2 000 рублей; на должностных лиц – от 4 000 до 10 000 рублей; на индивидуальных предпринимателей – от 10 000 до 20 000 рублей; на юридических лиц – от 25 000 до 45 000 рублей.

Невыполнение оператором при обработке персональных данных без использования средств автоматизации обязанности по соблюдению условий, обеспечивающих в соответствии с законодательством РФ в области персональных данных сохранность персональных данных при хранении материальных носителей персональных данных и исключающих несанкционированный к ним доступ, если это повлекло неправомерный или случайный доступ к персональным данным, их уничтожение, изменение, блокирование, копирование, предоставление, распространение либо иные неправомерные действия в отношении персональных данных, при отсутствии признаков уголовно наказуемого деяния влечет наложение административного штрафа на граждан в размере от 700 до 2 000 рублей; на должностных лиц – от 4 000 до 10 000 рублей; на индивидуальных предпринимателей – от 10 000 до 20 000 рублей; на юридических лиц – от 25 000 до 50 000 рублей.

Невыполнение оператором, являющимся государственным или муниципальным органом, предусмотренной законодательством РФ в области персональных данных обязанности по обезличиванию персональных данных либо несоблюдение установленных требований или методов по обезличиванию персональных данных влечет предупреждение или наложение административного штрафа на должностных лиц в размере от 3 000 до 6 000 рублей.

Согласно ст. 22 Закона № 152-ФЗ оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных.

Однако обработку персональных данных, обрабатываемых в соответствии с трудовым законодательством, оператор (работодатель) вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных.

В Разъяснении от декабря 2012 г. Роскомнадзор разъяснил ситуацию относительно обработки персональных данных уволенных работников.

Работодатель вправе обрабатывать персональные данные уволенного работника в случаях и в сроки, предусмотренные федеральным законодательством.

К таким случаям, в том числе, относится обработка персональных данных в рамках бухгалтерского и налогового учета.

Так, п.п. 5 п. 3 ст. 24 НК РФ установлена обязанность налоговых агентов (работодателей) в течение 4 лет обеспечивать сохранность документов, необходимых для исчисления, удержания и перечисления налога.

Ст. 29 Федерального закона от 06.12.2011 г. № 402-ФЗ «О бухгалтерском учете» определено, что первичные учетные документы, регистры бухгалтерского учета, бухгалтерская (финансовая) отчетность, аудиторские заключения о ней подлежат хранению экономическим субъектом в течение сроков, устанавливаемых в соответствии с правилами организации государственного архивного дела, но не менее пяти лет после отчетного года.

Таким образом, с учетом положений п. 2 ст. 6 Закона «О персональных данных», согласие уволенных работников на обработку их персональных данных в вышеуказанных случаях не требуется.

Срок хранения персональных данных

В соответствии с Перечнем типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков хранения, утвержденным приказом Минкультуры РФ от 25.08.2010 г. № 558, документы (заявления работника о согласии на обработку персональных данных, сведения, уведомления) о субъекте персональных данных хранятся 75 лет.

Локальные нормативные акты (положения, инструкции) о персональных данных работников по месту разработки и утверждения хранятся постоянно.

Согласно ст. 90 ТК РФ лица, виновные в нарушении положений законодательства РФ в области персональных данных при обработке персональных данных работника, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном ТК РФ и иными федеральными законами, а также привлекаются к гражданско-правовой, административной и уголовной ответственности в порядке, установленном федеральными законами.

В письме от 08.10.2018 г № 14-2/В-803 Минтруд РФ сообщил, что опубликование на официальном сайте работодателя персональных данных работников, а также информации о причинах их увольнения не будет соответствовать нормам трудового законодательства.

Проверки

Согласно ст. 90 ТК РФ лица, виновные в нарушении положений законодательства РФ в области персональных данных при обработке персональных данных работника, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном ТК РФ и иными федеральными законами, а также привлекаются к гражданско-правовой, административной и уголовной ответственности в порядке, установленном федеральными законами.

С 23 февраля 2019 года применяются Правила организации и осуществления государственного контроля и надзора за обработкой персональных данных, утвержденные постановлением Правительства РФ от 13.02.2019 г. № 146.

Плановые проверки в отношении операторов проводятся в соответствии с ежегодными планами.

Основанием для включения плановой проверки в отношении оператора в план по контролю является истечение 3 лет со дня:

– государственной регистрации оператора в качестве юридического лица, индивидуального предпринимателя;

– окончания последней плановой проверки оператора.

Однако в случаях если:

– оператор осуществляет обработку персональных данных в информационных системах персональных данных, имеющих в соответствии с федеральными законами статус государственных информационных систем;

– оператор осуществляет сбор биометрических и специальных категорий персональных данных;

– оператор осуществляет трансграничную передачу персональных данных на территорию иностранного государства, не обеспечивающего адекватную защиту прав субъектов персональных данных;

– оператор осуществляет обработку персональных данных по поручению иностранного государственного органа, иностранного юридического лица, иностранного физического лица, которые не зарегистрированы в установленном порядке на территории РФ,

плановая проверка в отношении оператора включается в план по контролю и проводится с периодичностью не чаще одного раза в 2 года со дня окончания его последней плановой проверки.

Внеплановые проверки проводятся на основании приказа органа по контролю и надзору, изданного:

а) в случае неисполнения или частичного исполнения оператором предписания об устранении выявленного нарушения, выданного органом по контролю и надзору;

б) по результатам рассмотрения обращений граждан, поступивших в орган по контролю и надзору, при условии наличия в обращении материалов, подтверждающих факт нарушения их прав, определенных ст. 14–17 Федерального закона «О персональных данных», действиями (бездействием) оператора при обработке их персональных данных;

в) в соответствии с поручениями Президента РФ, Правительства РФ;

г) на основании требования прокурора об осуществлении внеплановой проверки;

д) на основании решения руководителя органа по контролю и надзору по итогам рассмотрения докладной записки, содержащей выводы о наличии нарушений требований, выявленных по результатам проведения мероприятий по контролю без взаимодействия с оператором.

Проведение внеплановых проверок по основаниям, предусмотренным п.п. «б» и «д», согласовывается с органами прокуратуры.

Проверки проводятся органом по контролю и надзору на основании приказа, изданного уполномоченным должностным лицом, в форме документарной или выездной проверки.

Орган по контролю и надзору уведомляет оператора о проведении плановой проверки не позднее чем за 3 рабочих дня до даты начала ее проведения посредством направления копии приказа заказным почтовым отправлением с уведомлением о вручении, или посредством направления электронного документа, подписанного усиленной квалифицированной электронной подписью уполномоченного должностного лица, по адресу электронной почты оператора, если такой адрес содержится на сайте оператора в сети «Интернет» либо ранее был представлен оператором в орган по контролю и надзору, или иным доступным способом.

О проведении внеплановой проверки оператор уведомляется органом по контролю и надзору не менее чем за 24 часа до начала ее проведения посредством направления копии приказа любым доступным способом.

Срок проведения плановой проверки не может превышать 20 рабочих дней.

Срок проведения плановой проверки может быть продлен однократно не более чем на 20 рабочих дней.

Срок проведения внеплановой проверки не может превышать 10 рабочих дней.

Срок проведения внеплановой проверки может быть продлен однократно не более чем на 10 рабочих дней.

Орган по контролю и надзору уведомляет оператора о продлении срока проведения проверки в течение 3 рабочих дней со дня издания приказа о продлении срока проведения проверки.

Документарная проверка осуществляется в рамках проведения плановой проверки посредством анализа документов и информации, полученных от оператора по письменному запросу органа по контролю и надзору.

Внеплановые документарные проверки не проводятся.

Оператор обязан представить в орган по контролю и надзору документы и информацию, необходимые для проведения документарной проверки, в течение 5 рабочих дней со дня получения запроса.

Выездная проверка проводится по месту нахождения оператора и (или) по месту фактического осуществления им деятельности по обработке персональных данных.

Выездная проверка оператора — физического лица, не являющегося индивидуальным предпринимателем, не проводится.

В случае если документы и информация не могут быть представлены в срок, установленный в запросе, либо отсутствуют, руководитель оператора или иной уполномоченный представитель оператора должен до истечения этого срока представить должностным лицам, проводящим выездную проверку, письменное мотивированное объяснение о причинах невозможности представления документов и информации.

По результатам проверки должностные лица, проводившие проверку, составляют акт проверки.

При проведении выездной проверки в журнале оператора по учету проверок производится запись о проведенной проверке.

В случае отсутствия такого журнала в акте проверки делается соответствующая запись.

В случае неисполнения или частичного исполнения оператором выданного органом по контролю и надзору предписания об устранении выявленных нарушений орган по контролю и надзору проводит внеплановую выездную проверку.