Персональные данные работников: документы кадровика

# Персональные данные работников: какие документы должны быть у работодателя

Кадровая служба обрабатывает персональные данные постоянно: принимает документы при трудоустройстве, ведёт личные дела, передаёт сведения в банк для зарплаты, в фонды, в бухгалтерию аутсорсера, выдаёт справки. Каждое из этих действий — обработка персональных данных, регулируемая одновременно главой 14 Трудового кодекса и законом о персональных данных.

Требования двух законов не совпадают, и это главный источник ошибок. Кодекс задаёт трудовые гарантии: какие данные можно получать, у кого, как хранить, как передавать. Закон о персональных данных задаёт общий режим оператора: основания обработки, права субъекта, меры защиты, уведомление надзорного органа. Работодатель обязан выполнять оба.

Ответственность за нарушения по статье 13.11 КоАП РФ за последние годы существенно ужесточена, а составов в ней несколько — по каждому виду нарушения отдельно.

Согласие: когда нужно, а когда нет

Распространённое заблуждение — брать у работника согласие на всё подряд. Это не только лишнее, но и вредно: согласие, взятое там, где обработка идёт по другому основанию, создаёт иллюзию, что при отзыве согласия обработку надо прекратить.

Для обработки данных, необходимых для исполнения трудового договора и выполнения обязанностей работодателя, согласие не требуется: основание — закон и договор. Сюда входят фамилия, имя, отчество, паспортные данные, СНИЛС, ИНН, сведения об образовании, стаж, данные для расчёта зарплаты и отчётности.

Согласие обязательно там, где обработка выходит за рамки прямой необходимости: размещение фотографии на сайте организации, публикация сведений в поздравлениях и корпоративных рассылках, передача данных третьим лицам, не предусмотренная законом, получение данных у третьих лиц, обработка биометрии, оформление добровольного медицинского страхования на членов семьи.

Отдельно — трансграничная передача и передача в целях, не связанных с трудовыми отношениями: там требования строже, и одного общего согласия недостаточно.

Комплект документов

• Положение об обработке и защите персональных данных работников — основной локальный акт: цели, состав данных, порядок получения, хранения, передачи, уничтожения, права работника, ответственность.
• Приказ об утверждении положения и лист ознакомления — работник знакомится под роспись, это прямое требование статьи 86 ТК РФ.
• Приказ о назначении ответственного за организацию обработки персональных данных — требование статьи 22.1 закона.
• Перечень лиц, допущенных к обработке, и обязательства о неразглашении от каждого.
• Формы согласий: на обработку данных, выходящих за пределы необходимого; на передачу третьим лицам с указанием получателей и целей; на размещение фотографии.
• Уведомление в Роскомнадзор об обработке персональных данных — сейчас его подают практически все операторы, включая работодателей, обрабатывающих только кадровые данные.
• Политика в отношении обработки персональных данных — публикуется, если есть сайт.
• Журналы: учёта обращений субъектов, учёта носителей, передачи данных третьим лицам.
• Модель угроз и документы по защите информационных систем — по требованиям постановления Правительства РФ № 1119 и приказов регуляторов, с определением уровня защищённости.
• Порядок реагирования на инциденты — включая обязанность уведомлять Роскомнадзор об утечке в установленные сроки.
• Порядок уничтожения данных с формой акта.
• Поручение обработки — договор с обработчиком, если кадры или бухгалтерия отданы на аутсорсинг.

Что говорит Трудовой кодекс отдельно

Глава 14 добавляет требования, которых нет в общем законе.

Работодатель не вправе получать и обрабатывать данные о политических, религиозных и иных убеждениях, о членстве в общественных объединениях и профсоюзах, за исключением случаев, предусмотренных законом.

Все данные о работнике следует получать у него самого; если данные можно получить только у третьей стороны, работника надо уведомить заранее и получить письменное согласие.

Работодатель не вправе принимать решения, затрагивающие интересы работника, на основании исключительно автоматизированной обработки.

Работник имеет право на свободный бесплатный доступ к своим данным, на копию любой записи, на требование об исключении или исправлении неверных данных.

Передача данных внутри организации осуществляется по внутреннему порядку, с которым работник ознакомлен; лица, получающие данные, обязаны соблюдать режим конфиденциальности.

Сроки хранения и уничтожение

Принцип минимизации требует не только не собирать лишнее, но и не хранить дольше необходимого. Сроки хранения кадровых документов установлены перечнем типовых управленческих архивных документов: личные дела, приказы по личному составу, трудовые договоры хранятся длительно, а копии документов, взятые «для удобства», не должны храниться вовсе.

Порядок уничтожения описывается в положении: кто и с какой периодичностью проверяет сроки, как оформляется решение, каким актом фиксируется уничтожение бумажных и электронных носителей. Акт уничтожения — не бюрократия: именно он доказывает, что данные больше не обрабатываются, если бывший работник обратится с требованием.

Отдельно про кандидатов, не принятых на работу: их резюме и анкеты хранятся только в течение срока, на который получено согласие, а по его истечении уничтожаются. Базы резюме «на будущее» без согласия на такой срок — типовое нарушение, которое всплывает при обращении самого кандидата.

Ошибки, которые видны при проверке

1. Положение есть, ознакомления нет. Подписей работников не собрано.
2. Согласие «на всё». Одна бумага, покрывающая любые действия, — признана недействительной как неконкретная.
3. Не назначен ответственный. Требование закона не выполнено формально.
4. Уведомление в Роскомнадзор не подано. Массовое нарушение среди небольших организаций.
5. Данные передаются аутсорсеру без поручения. Бухгалтерия на аутсорсе получает зарплатные данные без оформленного договора поручения обработки.
6. Хранение без сроков. Личные дела уволенных лежат бессрочно, порядок уничтожения не описан.
7. Копии паспортов «на всякий случай». Избыточный состав данных — самостоятельное нарушение принципа минимизации.
8. Нет порядка реагирования на утечку. Сроки уведомления регулятора короткие, и без готового порядка их не выдержать.

Отдельно стоит помнить про уведомление об утечке: закон устанавливает короткие сроки для сообщения в Роскомнадзор о факте неправомерной передачи данных и о результатах внутреннего расследования. Организация, у которой нет заранее назначенного ответственного и готовой формы уведомления, эти сроки не выдерживает физически.

Когда нужен профильный специалист

Комплект форм закрывает кадровый контур обычной организации. Отдельная работа нужна: при использовании систем видеонаблюдения и контроля доступа с биометрией; при обработке данных в информационных системах с высоким уровнем защищённости; при трансграничной передаче данных, в том числе при использовании иностранных сервисов; при обработке специальных категорий данных — медицинских сведений о работниках; при построении режима в группе компаний с обменом данными между юридическими лицами.

Если задача — закрыть кадровый контур и подготовиться к проверке, комплект удобнее взять готовым: в конструкторе документов по персональным данным работников — положение об обработке, приказы о назначении ответственного и допуске, формы согласий с разграничением обязательных и добровольных данных, обязательства о неразглашении, журналы и порядок уничтожения, с реквизитами организации во всех документах. Смежные материалы: общий контур оператора — в статье о документах по персональным данным, публичная сторона — в разборе политики обработки персональных данных, а кадровые правила — в материале о правилах внутреннего трудового распорядка.

Практический порядок внедрения: сначала инвентаризация — какие данные, где, кто имеет доступ, кому передаются; затем положение и приказы; затем формы согласий и обязательств; затем технические меры и уведомление регулятора. Обратный порядок, когда сначала скачивается пакет документов, а потом выясняется, что он описывает не вашу обработку, приводит к переделке целиком.

Нормативная база

• Трудовой кодекс РФ, глава 14 «Защита персональных данных работника», ст. 86–90.
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 5, 6, 9 (согласие), 18.1 (меры оператора), 19, 22 (уведомление), 22.1 (ответственный за организацию обработки).
• Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».
• КоАП РФ, ст. 13.11 — нарушение законодательства о персональных данных.