Распространение персональных данных: что должен знать кадровик

Персональные данные человека являются основной частью его личной жизни. Они обеспечивают безопасность гражданина и его положение в обществе. При приеме на работу, ведении учета состава предприятия и составлении личных дел сотрудников предприятия специалист отдела кадров использует персональные данные работников. Кадровику необходимо знать законодательные и нормативно-правовые акты, чтобы при работе с персональными данными сотрудников не нарушить закон. Далее речь пойдет о правилах обработки данных сотрудников. Кроме этого, расскажем, как составить согласие на обработку и распространение персональных данных, и что нужно в них изменить в связи с новшествами в законодательстве.

Что является персональными данными

В соответствии с законодательством РФ, персональными данными (далее — ПД) является любые сведения о человеке, в частности, данные паспорта, должность, заработная плата, место жительства, номер телефона и личная электронная почта. Этот список можно продолжить.

Какие существуют категории персональных данных

Обычно выделяют три категории:

1. Общие. К ним  относятся самые основные данные о человеке. Его ФИО, дата рождения, пол и т.д. Общие ПД позволяют распознать человека по самым основным сведениям о нем.
2. Специальные. Специальными данными считают принадлежность субъекта к определенной расе и религии, а также его взгляды и убеждения. Такие данные позволяют получить дополнительные сведения о человеке. Обычно компании не запрашивают у работников их специальные данные.
3. Биометрические. К биометрическим ПД относят те, которые характеризуют субъекта ПД по его физическим и биологическим особенностям. Например, к таким данным можно отнести отпечатки пальцев и радужную оболочку глаза.

Однако менеджер по персоналу использует не все данные сотрудников, а только те, что предусмотрены Трудовым кодексом. Работодатель не имеет права требовать у сотрудников их специальные данные. То есть, в распоряжении работодателя находятся только общие ПД сотрудников. Остальные данные работодатель имеет право брать у работника только с его разрешения. Если в целях организации используется информация, на эксплуатацию которой работник не давал разрешения, фирма может понести административную ответственность.

Важно! Запрашивать отчет о состоянии здоровья сотрудника можно лишь в том случае, если эти сведения необходимы для нормального исполнения работником его трудовых обязанностей. Например, при работе в столовой поварам и другим сотрудникам необходимо предоставлять медицинские книжки и проходить медосмотры. Кроме того, в работе школьного учителя или воспитателя также необходимо иметь справку о состоянии здоровья. В некоторых организациях предоставлять сведения о состоянии здоровья не нужно.

Что говорит закон

В РФ есть отдельный закон, посвященный персональным данным. Его главная цель — обеспечивать права граждан при работе с их ПД. Недавние поправки в законе были ориентированы на обеспечение защиты тех ПД, которые находятся в открытом доступе. Эти изменения как никогда актуальны сейчас, когда вся информация находится в интернете, и совершенно каждый человек может воспользоваться ей.

Что принято считать распространением

В законе, посвященном персональным данным, приведен ряд терминов, которые касаются этой темы. Итак, законодательство четко разделяет два понятия: “распространение” и “предоставление” персональных данных. Дело в том, что при распространении данные передаются неограниченному количеству людей, а во время представления сведения о человеке передаются определенному человеку или группе людей.

Например, предоставление данных о работнике в банк для получения зарплатной карты или в агентство для приобретения билетов в командировку распространением являться не будет. Информация о сотруднике в данном случае передается узкому кругу лиц. А вот если данные о сотруднике находятся на сайте компании или на странице в социальной сети, то есть, в свободном доступе в интернете, здесь уже можно говорить о распространении ПД работника организации.

Соответственно, когда компания не распространяет сведения о сотрудниках, то есть, данные о работнике не сможет увидеть любой человек, нужно брать только согласие на обработку ПД. Если же распространение в любой форме имеет место быть, существует также отдельное согласие — согласие на распространение ПД.

Нюансы, возникающие при составлении согласия

Однако с составлением согласия не все так просто. Законодательство отмечает, что передача данных может выражаться в распространении, предоставлении кому-либо и открытии доступа к ним. При этом, любое из этих действий должно быть прекращено по требованию субъекта персональных данных. Опираясь на эти факты, некоторые специалисты отдела кадров делают неправильные выводы о правилах передачи данных. Неверные выводы о правилах составления данного документа могут звучать так:

• передача абсолютно всех ПД производится непременно с согласия на их обработку;
• абсолютно все ПД сотрудника необходимо включать в согласие, и он сам отметит, с какими данными он разрешает работать, а с какими — нет.

Эти выводы считаются неверными, потому что:

• производить операции с данными сотрудника без его согласия можно в том случае, если это предусмотрено Трудовым кодексом РФ;
• в согласие необходимо включить только те персональные данные, которые будут обрабатываться, а работник подписывает свое согласие на обработку всех данных, включенных в согласие.

Правила оформления согласия на обработку ПД

Такой документ следует получать у сотрудников в том случае, если организация собирает, хранит и предоставляет данные в другие организации. Соответственно, практически всегда данное согласие нужно будет оформлять. Согласие всегда должно содержать следующие моменты:

1. Полное имя сотрудника, чьи персональные данные будут обрабатываться.
2. Категории персональных данных, которые планируют обрабатывать.
3. В каких целях будут использоваться данные субъекта.
4. Какие именно действия будут производиться с данными субъекта.

Может случиться так, что сотрудник отказывается подписывать согласие на обработку его персональных данных. В этом случае работодатель имеет право продолжить работать с данными, обработка которых предписана или предусмотрена для него законодательством, в особенности, которые:

• передаются в ФНС, ПФР, ФСС России, военкомат и другие государственные организации;
• предоставляются по требованию инспекционных органов и прокуратуры при проведении проверок;
• предоставляются по запросам судов и следственных органов;
• указаны в личной карточке работника (форма № Т-2 или форма, утвержденная работодателем);
• содержатся в документах, обязательных для предъявления при приеме на работу (ст. 65 ТК РФ);
• содержатся в медицинских заключениях, если прохождение медосмотров обязательно для работника.

Важно! В связи с некоторыми изменениями в законе, документ, подтверждающий разрешение сотрудника на использование его ПД, следует также немного изменить: 

1. Во-первых, если в тексте документа содержится слово “распространение”, его нужно убрать, поскольку теперь этот термин приобрел иное значение.
2. Во-вторых, если в тексте содержится слово “передача”, необходимо добавить фразу “за исключением распространения неограниченному кругу лиц”. Если же согласие не содержит этих слов, то его текст менять не нужно.

Что такое согласие на распространение ПД

С марта 2024 года появился обязательный документ — согласие на распространение персональных данных. Соответственно, размещение любых сведений (вне зависимости от того, кому они принадлежат: работникам, клиентам, подписчикам или обычным посетителям сайта) в свободном доступе в интернете должно сопровождаться получением письменного разрешения от владельца ПД, позволяющего распространение этих сведений. Получать согласие должен оператор (хозяин страницы в социальной сети или сайта), который также обязан предоставить субъекту возможность определить список его ПД, разрешенных для распространения.

В согласие на распространение ПД следует включить:

1. Полное имя сотрудника.
2. Адрес организации.
3. Упоминание того закона, в соответствии с которым составляется настоящий документ.
4. Список тех сведений, на распространение которых работник дает свое разрешение.

Можно ли отозвать согласие на распространение ПД

Сотрудник может в любой момент отозвать свое согласие и на обработку ПД, и на их распространение. По закону, работник когда угодно может потребовать прекратить передачу сведений о нем, даже если ранее от подписывал свое письменное разрешение. Специалист отдела кадров, в свою очередь, должен незамедлительно прекратить передачу ПД работника. В случае отказа, сотрудник имеет право обратиться в суд.

Грамотно составленное требование о прекращении передачи ПД выглядит следующим образом:

Штрафы за несоблюдение правил работы с ПД сотрудников

Если информация о сотрудниках находится в свободном доступе, нужно непременно получать у работников письменное разрешение. В том случае, если такого согласия нет, или оно составлено неправильно, согласно ст. 13 КоАП РФ, предусмотрен штраф в размере:

• от 20 000 до 40 000 руб — для физического лица.
• от 30 000 до 150 000 руб — для организации.

За повторное нарушение штраф увеличивается и составляет:

• от 40 000 до 100 000 руб — для физического лица.
• от 100 000 до 300 000 руб — для ИП.
• от 300 000 до 500 000 руб — для организации.