Обработка персональных данных работников: требования, документы, штрафы
Персональные данные работника - любая информация о человеке, имеющаяся у работодателя. Это Ф.И.О. и другие паспортные данные, ИНН, СНИЛС, номер телефона, сведения об образовании, зарплате и других доходах, и т.д. (ст. 3 Закона N 152-ФЗ, Письмо Минкомсвязи от 28.08.2020 N ЛБ-С-074-24059).
Фотографии, аудио- и видеозаписи, отпечатки пальцев являются биометрическими персональными данными (Письмо Роскомнадзора от 10.02.2020 N 08АП-6782).
Документы, содержащие персональные данные работниковРаботодатель - оператор персональных данных работников, и обязан направить в Роскомнадзор уведомление о намерении осуществлять обработку персональных данных до ее начала. Сделать это можно на сайте Роскомнадзора, там же есть варианты формулировок целей обработки персональных данных, например обеспечение соблюдения налогового законодательства (ст. 22 Закона N 152-ФЗ).
Уведомление в Роскомнадзор о начале обработки персональных данных работников
Согласие на обработку персональных данных при приеме на работу оформляют отдельным документом, условия о согласии в трудовом договоре недостаточно. При использовании биометрических персональных данных их включают в перечень данных, на обработку которых работник дает согласие (ст. ст. 9, 11 Закона N 152-ФЗ, Письмо Минцифры от 17.07.2020 N ОП-П24-070-19433).
Срок действия согласия на обработку персональных данных закон не ограничивает, поэтому можно указать любой срок. Например, до его отзыва.
Согласие на обработку персональных данных, включая биометрическиеРаботник в любой момент может отозвать согласие на обработку персональных данных. Продолжить их обработку после отзыва работодатель вправе лишь в случаях, для которых согласие не требуется. Отвечать на отзыв согласия не нужно (ст. 21 Закона N 152-ФЗ).
Заявление об отзыве согласия на обработку персональных данныхЕсли работник отказывается от подписания согласия на обработку персональных данных, с ним все равно можно заключить трудовой договор. Но обрабатывать его персональные данные можно будет только в установленных законом случаях (ст. 6 Закона N 152-ФЗ).
Когда не требуется согласие на обработку персональных данных работникаПри изменении персональных данных изменения в личную карточку, трудовую книжку и другие кадровые документы вносят по заявлению работника или на основании подтверждающих документов. Менять данные в трудовом договоре не обязательно, но при желании можно оформить соответствующее допсоглашение (п. п. 7, 8 Порядка ведения трудовых книжек).
Передача персональных данных без согласия работника третьим лицам возможна только в установленных законом случаях, например, в налоговый орган и СФР. В других ситуациях надо получить письменное согласие работника (ст. 88 ТК РФ, Разъяснения Роскомнадзора).
Согласие на передачу персональных данныхХранение и уничтожение персональных данных
Персональные данные работника хранят в течение срока хранения содержащих их документов (ст. 5 Закона N 152-ФЗ).
Хранение документов и технических носителей, содержащих персональных данные работника, нужно организовать так, чтобы обеспечить их защиту от неправомерного доступа или утраты. Например, документы на бумаге можно хранить в запирающихся шкафах, а доступ к электронным документам предоставлять по уникальному логину и паролю.
Порядок уничтожения персональных данных должен быть таким, чтобы их невозможно было восстановить. Например, бумажные документы надо сжигать или измельчать в шредере, электронные данные безвозвратно удалять с материальных носителей и из баз данных (ст. 3 Закона N 152-ФЗ).
Организация работы с персональными данными
Работодатель должен утвердить положение о защите персональных данных и политику обработки персональных данных, назначить ответственного за обработку персональных данных, с него и с остальных лиц, имеющих к ним доступ, взять обязательство о неразглашении.
В положении о защите персональных данных работников устанавливают порядок работы с данными, перечень лиц, имеющих к ним доступ, правила хранения личных дел и других кадровых документов, способы защиты электронных документов, порядок уничтожения персональных данных. С положением работников надо ознакомить под роспись (ст. 88 ТК РФ, п. 15 Положения об обработке персональных данных).
Приказ об утверждении положения о защите персональных данныхПоложение о защите персональных данных работниковЛист ознакомления с положением о персональных данныхПриказ о назначении ответственного за обработку персональных данныхПриказ об утверждении перечня лиц, имеющих доступ к персональным даннымОбязательство о неразглашении персональных данныхШтрафы для работодателей и должностных лиц
Неуведомление Роскомнадзора о намерении обрабатывать персональные данные - штраф для организаций от 100 000 до 300 000 руб. (ч. 10 ст. 13.11 КоАП РФ).
Обработка персональных данных без согласия работника - штраф для малых и микропредприятий от 150 000 до 350 000 руб., для других организаций от 300 000 до 700 000 руб., для должностного лица от 100 000 до 300 000 руб. (ст. 4.1.2, ч. 2 ст. 13.11 КоАП РФ).
Действия (бездействие), повлекшие неправомерную передачу персональных данных, - штраф для организаций от 25 000 до 20 млн руб., для должностного лица от 8 000 до 100 000 руб. Размер штрафа зависит от категории персональных данных, способа их обработки, количества лиц, к персональным данным которых получен доступ, и статуса организации (малые и микропредприятия, другие организации) (ст. 4.1.2, ч. 1, 6, 12, 13, 14, 16, 17 ст. 13.11 КоАП РФ).
Неуведомление Роскомнадзора об утечке персональных данных - штраф для организаций от 1 млн до 3 млн руб. (ч. 11 ст. 13.11 КоАП РФ).
Работника, давшего обязательство о неразглашении персональных данных, за их разглашение могут привлечь к дисциплинарной и административной ответственности. А если организация понесла расходы по возмещению ущерба пострадавшим по его вине лицам, и к материальной ответственности (ст. ст. 81, 238, 243 ТК РФ, п. 43 Постановления Пленума ВС от 17.03.2004 N 2, Письмо Минтруда от 11.03.2024 N 14-6/ООГ-1418).
