Типовая ситуация™:

актуально на 4 декабря 2025 г.

Печать

Добавить в «Нужное»

Обработка персональных данных работников: требования, документы, штрафы

Персональные данные работника - любая информация о человеке, имеющаяся у работодателя. Это Ф.И.О. и другие паспортные данные, ИНН, СНИЛС, номер телефона, сведения об образовании, зарплате и других доходах, и т.д. (ст. 3 Закона N 152-ФЗ, Письмо Минкомсвязи от 28.08.2020 N ЛБ-С-074-24059).

Фотографии, аудио- и видеозаписи, отпечатки пальцев являются биометрическими персональными данными (Письмо Роскомнадзора от 10.02.2020 N 08АП-6782).

Работодатели являются операторами персональных данных и обязаны уведомлять Роскомнадзор о начале обработки персональных данных работников. Сформировать и направить уведомление можно на сайте Роскомнадзора (ст. 22 Закона N 152-ФЗ).

Организация работы с персональными данными

Для работы с персональными данными работников утвердите положение о защите персональных данных и политику обработки персональных данных.

В положении о защите персональных данных работников установите порядок работы с данными, перечень лиц, имеющих к ним доступ, правила хранения личных дел и других кадровых документов, способы защиты электронных документов. Утвердите положение приказом руководителя и ознакомьте с ним работников под роспись (ст. 88 ТК РФ, п. 15 Положения об обработке персональных данных).

Приказ об утверждении положения о защите персональных данных

Положение о защите персональных данных работников

ООО "Альфа"

Положение

о защите персональных данных работников

Настоящее Положение определяет порядок обработки персональных данных в ООО "Альфа" (далее - работодатель) с целью применения и исполнения законодательства в рамках трудовых и иных непосредственно связанных с ними отношений.

1. КАТЕГОРИИ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

Субъекты, персональные данные которых обрабатываются работодателем: соискатели работы, работники, члены их семей, бывшие работники, а также иные лица, персональные данные которых работодатель обязан обрабатывать в соответствии с законодательством (далее - работники).

2. КАТЕГОРИИ И ПЕРЕЧЕНЬ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ, ЦЕЛИ ОБРАБОТКИ

2.1. Персональные данные (далее - ПД) - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу:

фамилия, имя, отчество, дата и место рождения, пол, гражданство, адрес и другие паспортные данные, фотография;

ИНН, СНИЛС, номер телефона, адрес электронной почты;

профессия, сведения об образовании, владении иностранными языками, местах работы, в том числе о предыдущих;

данные воинского учета;

сведения о семейном положении и членах семьи, о месте их работы или учебы;

доходы, данные банковских счетов и карт;

сведения о состоянии здоровья, связанные с возможностью выполнения трудовой функции;

иные сведения, связанные с профессиональной деятельностью работника.

2.2. Работодатель создает и/или хранит следующие документы, содержащие ПД:

трудовые договоры и дополнительные соглашения к ним;

анкеты, тесты и другие результаты испытаний при приеме на работу;

копии документов об образовании, о наличии специальных знаний, квалификации и ее повышении, а также материалы аттестации работников;

копии документов воинского учета;

личные карточки работников (Т-2), личные дела, трудовые книжки или сведения о трудовой деятельности (СТД-Р);

приказы по кадрам;

отчетные материалы по оценке качества и эффективности работника, служебные и докладные записки, касающиеся работника;

медицинские заключения о состоянии здоровья;

документы со сведениями о заработной плате, банковских счетах и банковских картах;

материалы внутренних расследований (акты, докладные, протоколы и др.);

экземпляры отчетов для государственных органов;

иные документы, предусмотренные законодательством.

2.3. Источником получения ПД работника является работник. Получение ПД работника у третьих лиц допускается на основании и в порядке, установленных законодательством РФ.

2.4. Цели обработки ПД работника - соблюдение требований законодательства РФ и предоставление сведений:

кредитным организациям - для открытия счета, оформления банковской карты, перечисления зарплаты и других выплат;

страховым организациям - для заключения договора добровольного страхования работника;

организациям, которые проводят обучение, в том числе по охране труда, - для прохождения обучения;

работникам ООО "Альфа" и третьим лицам - для выполнения работником трудовой функции.

3. ЛИЦА, ОТВЕТСТВЕННЫЕ ЗА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1. Приказом генерального директора назначается лицо, ответственное за организацию обработки ПД (далее - ответственное лицо), а также утверждается перечень лиц, имеющих доступ к ПД в пределах, необходимых для выполнения своих трудовых обязанностей.

3.2. Ответственное лицо:

контролирует соблюдение мер по защите ПД;

оформляет с лицами, имеющими право доступа к ПД, письменное обязательство о неразглашении ПД;

принимает необходимые меры по хранению, обновлению и изменению ПД;

принимает необходимые меры по уничтожению либо обезличиванию ПД работников после достижения целей обработки или в случае неактуальности, если иное не предусмотрено законодательством РФ.

3.3. Лица, получившие доступ к ПД работников, обязаны соблюдать режим конфиденциальности. Данное положение не распространяется на передачу ПД работников в порядке, установленном законодательством РФ.

3.4. Все лица, получающие доступ к ПД, подписывают обязательство о неразглашении ПД.

4. СПОСОБЫ И СРОКИ ОБРАБОТКИ И ХРАНЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. Обработка ПД - любое действие, совершаемое с ПД с использованием средств автоматизации или без них, включая сбор, запись, систематизацию, накопление, хранение, обновление, изменение, извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Сбор и дальнейшая обработка ПД работника возможны только с его письменного согласия, за исключением случаев, предусмотренных законодательством РФ.

4.2. ПД работников можно обрабатывать на бумажных носителях и в электронном виде. При обработке ПД работодатель обязан соблюдать принципы, ограничения и требования, установленные законодательством РФ.

4.3. Документы, в том числе в электронной форме, содержащие ПД, хранятся в течение срока, установленного законодательством РФ, а если он не установлен - срока, определенного приказом генерального директора. После истечения срока хранения документы подлежат уничтожению.

4.4. Документы на бумажных носителях хранятся в запирающихся на замок шкафах. Доступ к документам в электронном виде возможен только по уникальному логину и паролю.

5. ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1. Передача ПД третьим лицам допускается только с письменного согласия работника, за исключением случаев предупреждения угрозы жизни и здоровью работника или в иных случаях, предусмотренных законодательством РФ.

5.2. Не допускается получение и передача работодателем информации о состоянии здоровья работника, за исключением сведений, относящихся к возможности выполнения трудовой функции.

6. УНИЧТОЖЕНИЕ ДОКУМЕНТОВ, СОДЕРЖАЩИХ ПД РАБОТНИКОВ

6.1. Ответственное лицо ежегодно не позднее 31 января составляет опись документов, подлежащих уничтожению. Уничтожает документы комиссия, созданная приказом генерального директора. Об уничтожении документов комиссия составляет акт.

6.2. Бумажные документы уничтожают в шредере. Электронные документы удаляют с информационных носителей.

7. ПРАВА, ОБЯЗАННОСТИ И ОТВЕТСТВЕННОСТЬ РАБОТНИКОВ

7.1. Работник обязан предоставлять работодателю достоверные сведения о себе.

7.2. Работник имеет право на полную информацию о находящихся у работодателя своих ПД и их обработке.

7.3. Право работника на доступ к его ПД может быть ограничено в случаях, установленных законодательством РФ.

7.4. Лица, виновные в нарушении порядка обработки и хранения ПД, несут ответственность в соответствии с законодательством РФ.

Образец политики обработки персональных данных

Назначьте ответственного за обработку персональных данных, с него и с остальных лиц, имеющих к ним доступ, возьмите обязательство о неразглашении.

Приказ о назначении ответственного за обработку персональных данных

Приказ об утверждении перечня лиц, имеющих доступ к персональным данным

Обязательство о неразглашении персональных данных

При приеме на работу согласие работника на обработку персональных данных оформите отдельным документом, условия о согласии в трудовом договоре недостаточно (ст. 9 Закона N 152-ФЗ).

Для использования биометрических персональных данных, например фотографии для пропуска, укажите их в перечне данных, на обработку которых работник дает согласие (ст. 11 Закона N 152-ФЗ, Письмо Минцифры от 17.07.2020 N ОП-П24-070-19433).

Срок действия согласия закон не ограничивает, поэтому можно указать любой срок. Например, до дня его отзыва (ст. 9 Закона N 152-ФЗ).

Согласие на обработку персональных данных

Заявление об отзыве согласия на обработку персональных данных

При изменении персональных данных изменения в личную карточку и другие кадровые документы вносят по заявлению работника или на основании подтверждающих документов. Менять данные в трудовом договоре не обязательно, но при желании можете оформить соответствующее допсоглашение. Изменения в трудовую книжку вносите при смене Ф.И.О., даты рождения и сведений об образовании (п. п. 7, 8 Порядка ведения трудовых книжек).

Передача персональных данных без согласия работника третьим лицам возможна только в установленных законом случаях, например, в налоговый орган и СФР. В других ситуациях надо получить письменное согласие работника (ст. 88 ТК РФ, Разъяснения Роскомнадзора).

Согласие на передачу персональных данных

Штрафы для работодателей и должностных лиц

Неуведомление Роскомнадзора о намерении обрабатывать персональные данные - штраф для организаций от 100 000 до 300 000 руб. (ч. 10 ст. 13.11 КоАП РФ).

Обработка персональных данных без согласия работника - штраф для малых и микропредприятий от 150 000 до 350 000 руб., для других организаций от 300 000 до 700 000 руб., для должностного лица от 100 000 до 300 000 руб. (ст. 4.1.2, ч. 2 ст. 13.11 КоАП РФ).

Действия (бездействие), повлекшие неправомерную передачу персональных данных, - штраф для организаций от 25 000 до 20 млн руб., для должностного лица от 8 000 до 100 000 руб. Размер штрафа зависит от категории персональных данных, способа их обработки, количества лиц, к персональным данным которых получен доступ, и статуса организации (малые и микропредприятия, другие организации) (ст. 4.1.2, ч. 1, 6, 12, 13, 14, 16, 17 ст. 13.11 КоАП РФ).

Неуведомление Роскомнадзора об утечке персональных данных - штраф для организаций от 1 млн до 3 млн руб. (ч. 11 ст. 13.11 КоАП РФ).

Работника, давшего обязательство о неразглашении персональных данных, за их разглашение могут привлечь к дисциплинарной и административной ответственности. А если организация понесла расходы по возмещению ущерба пострадавшим по его вине лицам, и к материальной ответственности (ст. ст. 81, 238, 243 ТК РФ, п. 43 Постановления Пленума ВС от 17.03.2004 N 2, Письмо Минтруда от 11.03.2024 N 14-6/ООГ-1418).

Обработка персональных данных работников: требования, документы, штрафы

Материалы по теме