Персональные данные работников. Приводим в порядок

Тематики: Трудовые отношения

Прошу прокомментировать Федеральный закон РФ от 27.07.2006 г. № 152-ФЗ «О персональных данных». Что должна предпринять бухгалтерская служба предприятия (или обслуживающая бухгалтерия) до 01.01.2010 г., чтобы привести в соответствие бухгалтерский учет, налоговый учет согласно требованиям Закона. Необходимо ли получать бухгалтерской службе какие-либо разрешения, сертификаты?

Сразу оговоримся, что обработка и защита персональных данных не влекут за собой каких-то особых изменений в бухгалтерском и налоговом учете.

В настоящее время вопросы персональных данных регулируются двумя законами: Трудовым кодексом РФ и Федеральным законом РФ от 27.07.2006 г. № 152-ФЗ «О персональных данных».

В соответствии с Законом № 152-ФЗ к персональным данным относится любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.

Законом № 152-ФЗ регулируются отношения, связанные с обработкой персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами, органами местного самоуправления, не входящими в систему органов местного самоуправления муниципальными органами, юридическими лицами, физическими лицами с использованием средств автоматизации или без использования таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации.

Для целей трудового законодательства защите персональных данных работника посвящена глава 14 ТК РФ.

Согласно ст. 85 ТК РФ персональные данные работника – это информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного работника.

Обработка персональных данных работника – это получение, хранение, комбинирование, передача или любое другое использование персональных данных работника.

Закон № 152-ФЗ называет юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных, операторами.

Операторами, получающими доступ к персональным данным, должна обеспечиваться конфиденциальность таких данных (ст. 7 Закона № 152-ФЗ).

Ст. 65 ТК РФ установлено, что при заключении трудового договора лицо, поступающее на работу, предъявляет работодателю:

– паспорт или иной документ, удостоверяющий личность;

– трудовую книжку, за исключением случаев, когда трудовой договор заключается впервые или работник поступает на работу на условиях совместительства;

– страховое свидетельство государственного пенсионного страхования;

– документы воинского учета – для военнообязанных и лиц, подлежащих призыву на военную службу;

– документ об образовании, о квалификации или наличии специальных знаний – при поступлении на работу, требующую специальных знаний или специальной подготовки.

Все эти документы относятся к персональным данным работника.

Также персональными данными работника являются медицинские заключения, выдаваемые работнику при медицинских осмотрах в соответствии со статьями 69, 213 ТК РФ.

Ст. 87 ТК РФ обязывает работодателя установить порядок хранения и использования персональных данных работника.

То есть работодатель должен принять соответствующий локальный нормативный акт.

Согласно ст. 68 ТК РФ при приеме на работу (до подписания трудового договора) работодатель обязан ознакомить работника под роспись с правилами внутреннего трудового распорядка, иными локальными нормативными актами, непосредственно связанными с трудовой деятельностью работника, коллективным договором.

Следовательно, при приеме на работу работник должен быть под роспись ознакомлен с Положением о порядке хранения и использования персональных данных работников.

Ст. 3 Закона № 152-ФЗ определяет, что обработка персональных данных – это действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных.

Обработка персональных данных может осуществляться оператором с согласия субъектов персональных данных (ст. 6 Закона № 152-ФЗ).

В силу требования ст. 9 Закона № 152-ФЗ обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных.

То есть работник должен представить письменное согласие на обработку своих персональных данных.

Письменное согласие работника на обработку своих персональных данных должно включать в себя:

1) фамилию, имя, отчество, адрес работника, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;

2) наименование (фамилию, имя, отчество) и адрес работодателя, получающего согласие работника;

3) цель обработки персональных данных;

4) перечень персональных данных, на обработку которых дается согласие работника;

5) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором (работодателем) способов обработки персональных данных;

6) срок, в течение которого действует согласие, а также порядок его отзыва.

Информационная система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств, называется информационной системой персональных данных.

Согласно ст. 25 Закона № 152-ФЗ информационные системы персональных данных, созданные до дня вступления в силу Закона № 152-ФЗ (то есть до 26.01.2007 г.), должны быть приведены в соответствие с требованиями Закона № 152-ФЗ не позднее 1 января 2010 года.

Следовательно, в кадровых делах работников должны быть письменные согласия работников на обработку их персональных данных.

«Старым» компаниям дан срок до 01.01.2010 г.

Компании, созданные после 26.01.2007 г., должны действовать по правилам Закона № 152-ФЗ с момента начала деятельности.

В соответствии со ст. 19 Закона № 152-ФЗ оператор при обработке персональных данных обязан принимать необходимые организационные и технические меры, в том числе использовать шифровальные (криптографические) средства, для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий.

Требования к обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных устанавливает Правительство РФ.

Постановлением Правительства РФ от 17.11.2007 г. № 781 утверждено Положение об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных.

Положение устанавливает требования к обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, представляющих собой совокупность персональных данных, содержащихся в базах данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации.

Особенности обработки персональных данных, осуществляемой без использования средств автоматизации, определены одноименным Положением, утвержденным постановлением Правительства РФ от 15.09.2008 г. № 687.

Обработка персональных данных, содержащихся в информационной системе персональных данных либо извлеченных из такой системы, считается осуществленной без использования средств автоматизации (неавтоматизированной), если такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются при непосредственном участии человека.

Понятно, что кадровое делопроизводство осуществляется при непосредственном участии человека.

Поэтому всем компаниям нужно руководствоваться Постановлением № 687.

При использовании типовых форм документов, характер информации в которых предполагает или допускает включение в них персональных данных, должны соблюдаться следующие условия:

а) типовая форма или связанные с ней документы (инструкция по ее заполнению, карточки, реестры и журналы) должны содержать сведения о цели обработки персональных данных, осуществляемой без использования средств автоматизации, имя (наименование) и адрес оператора, фамилию, имя, отчество и адрес субъекта персональных данных, источник получения персональных данных, сроки обработки персональных данных, перечень действий с персональными данными, которые будут совершаться в процессе их обработки, общее описание используемых оператором способов обработки персональных данных;

б) типовая форма должна предусматривать поле, в котором субъект персональных данных может поставить отметку о своем согласии на обработку персональных данных, осуществляемую без использования средств автоматизации, – при необходимости получения письменного согласия на обработку персональных данных;

в) типовая форма должна быть составлена таким образом, чтобы каждый из субъектов персональных данных, содержащихся в документе, имел возможность ознакомиться со своими персональными данными, содержащимися в документе, не нарушая прав и законных интересов иных субъектов персональных данных;

г) типовая форма должна исключать объединение полей, предназначенных для внесения персональных данных, цели обработки которых заведомо не совместимы.

Обработка персональных данных, осуществляемая без использования средств автоматизации, должна осуществляться таким образом, чтобы в отношении каждой категории персональных данных можно было определить места хранения персональных данных (материальных носителей) и установить перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ.

Необходимо обеспечивать раздельное хранение персональных данных (материальных носителей), обработка которых осуществляется в различных целях.

При хранении материальных носителей должны соблюдаться условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный к ним доступ.

Оператор (работодатель) должен установить перечень мер, необходимых для обеспечения таких условий, порядок их принятия, а также перечень лиц, ответственных за реализацию указанных мер.

А ст. 88 ТК РФ обязывает работодателя осуществлять передачу персональных данных работника в пределах одной организации, у одного индивидуального предпринимателя в соответствии с локальным нормативным актом, с которым работник должен быть ознакомлен под роспись, разрешать доступ к персональным данным работников только специально уполномоченным лицам.

При этом указанные лица должны иметь право получать только те персональные данные работника, которые необходимы для выполнения конкретных функций.

То есть работодателю нужно утвердить список лиц, допущенных к работе с персональными данными.

При разработке Положения о персональных данных работников и их обработке нужно указать:

– сведения, которые относятся к персональным данным;

– порядок обработки персональных данных;

– порядок хранения персональных данных;

– режим доступа к персональным данным;

– порядок передачи персональных данных;

– порядок уничтожения персональных данных;

– порядок ознакомления работников с персональными данными;

– ответственность за разглашение персональных данных.

Кстати, об ответственности.

Согласно ст. 13.11 КоАП РФ нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) влечет предупреждение или наложение административного штрафа на граждан в размере от трехсот до пятисот рублей; на должностных лиц – от пятисот до одной тысячи рублей; на юридических лиц – от пяти тысяч до десяти тысяч рублей.

И последнее.

Согласно ст. 22 Закона № 152-ФЗ оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных.

Однако обработку персональных данных, относящихся к субъектам персональных данных, которых связывают с оператором трудовые отношения, оператор (работодатель) вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных.