Автомобильное право

Путеводитель по кадровым вопросам персональные данные работников. Как составить согласие на передачу персональных данных третьим лицам? Образец и прочие нюансы Передача персональных данных

Если персональные данные работника могут быть получены только у третьей стороны, работника нужно уведомить об этом заранее и получить его письменное согласие (п. 3 ст. 86 ТК РФ).

В уведомлении необходимо указать (п. 3 ст. 86 ТК РФ):

Цели получения персональных данных работника у третьего лица;

Предполагаемые источники информации (лица, у которых будут запрашиваться данные);

Способы получения данных, их характер;

Возможные последствия отказа работодателю в получении персональных данных работника у третьего лица. При отказе работника ознакомиться с уведомлением о предполагаемом получении его персональных данных у другого лица целесообразно составить соответствующий акт.

Информацию, не имеющую отношения к перечисленным в п. 1 ст. 86 ТК РФ целям, работодатель не вправе запрашивать у третьих лиц даже с согласия работника.

См. образец составления уведомления.

См. образец составления согласия.

ХРАНЕНИЕ И ИСПОЛЬЗОВАНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

1. Организация учета и хранения персональных данных >>>

1.1. Оформление журналов учета персональных данных >>>

1.2. Требования к помещению, где хранятся персональные данные >>>

1.3. Защита персональных данных >>>

1.3.1. Организация программной защиты персональных данных, содержащихся в информационной системе работодателя >>>

2. Организация доступа работников к персональным данным других работников >>>

3. Оформление обязательства о неразглашении персональных данных работниками, имеющими доступ к этим данным >>>

4. Положение о персональных данных >>>

4.1. Оформление Положения о персональных данных >>>

4.2. Введение в действие Положения о персональных данных >>>

4.3. Ознакомление с Положением о персональных данных >>>

4.4. Изменение и дополнение персональных данных >>>

4.4.1. Внесение изменений в трудовой договор при изменении персональных данных (смена фамилии и т.д.) >>>

4.5. Срок хранения персональных данных >>>

Организация учета и хранения персональных данных

Согласно п. 7 ст. 86 ТК РФ защиту персональных данных работника от неправомерного их использования или утраты работодатель должен обеспечивать за счет своих средств. В соответствии со ст. 87 ТК РФ порядок хранения и использования персональных данных работников устанавливается работодателем. Из данных норм следует, что работодатель должен издать соответствующий локальный нормативный акт, регулирующий вопросы хранения и использования персональных данных, а также обеспечивающий защиту последних от неправомерного их использования или утраты. С соответствующим актом, а также со своими правами в сфере защиты персональных данных работники должны быть ознакомлены под роспись.

Пунктом 10 ст. 86 ТК РФ предусмотрено, что работодатели и их представители должны совместно вырабатывать меры защиты персональных данных работников. Подробнее об этом см. п. 4 настоящего материала.

Оформление журналов учета персональных данных

Поскольку на работодателя возложена обязанность соблюдать режим конфиденциальности персональных данных, то целесообразно вести журналы учета персональных данных, их выдачи и передачи другим лицам и представителям различных организаций, государственным органам.

В журнале учета внутреннего доступа к персональным данным (доступа работников организации к персональным данным других работников) следует указывать такие сведения, как дата выдачи и возврата документов (личных дел), срок пользования, цели выдачи, наименование выдаваемых документов (личных дел). Лицо, которое возвращает документ (дело), должно обязательно присутствовать при проверке наличия всех имеющихся документов по описи, если выданные документы составлены более чем на одном листе.

Лицо, которое получает личное дело другого работника во временное пользование, не имеет права делать в нем какие-либо пометки, исправления, вносить новые записи, извлекать документы из личного дела или помещать в него новые.

Помимо этого, также следует вести журнал учета выдачи персональных данных работников организациям и государственным органам, в котором необходимо регистрировать поступающие запросы, а также фиксировать сведения о лице, направившем запрос, дату передачи персональных данных или уведомления об отказе в их предоставлении и отмечать, какая именно информация была передана.

Система учета персональных данных также может предусматривать проведение регулярных проверок наличия документов и других носителей информации, содержащих персональные данные работников, а также устанавливать порядок работы с ними. В этой связи необходимо ведение журнала проверок наличия документов, содержащих персональные данные работника.

Требования к помещению, где хранятся персональные данные

Работодатель обязан принимать необходимые правовые, организационные и технические меры для защиты персональных данных работников от неправомерного использования или утраты либо обеспечить принятие таких мер. Это следует из п. 7 ст. 86 ТК РФ, ч. 1 ст. 19 Закона о персональных данных.

В частности, работодатель может предусмотреть в локальном нормативном акте требования к помещениям, в которых находятся носители информации (например, компьютеры с базами данных, документы на бумажных носителях), содержащие персональные данные работников.

Обращаем внимание, что Закон о персональных данных и Трудовой кодекс РФ не устанавливают каких-либо требований к упомянутым помещениям. Представляется, что работодатель может определить особый режим доступа в них, требования к оборудованию, установить перечень лиц, имеющих право доступа в данные помещения. Такие выводы следуют из анализа ч. 1, 2 ст. 19 Закона о персональных данных, ч. 1 ст. 8, абз. 7 ч. 1 ст. 22, ст. 87 ТК РФ.

Исходя из п. 21 Методических рекомендаций по ведению воинского учета в организациях (утв. Генштабом Вооруженных Сил РФ 11.04.2008) документы воинского учета, содержащие персональные данные работников, рекомендуем хранить в железных шкафах в специально оборудованных помещениях.

Защита персональных данных

Защита персональных данных представляет собой регламентированный технологический процесс, предупреждающий нарушение установленного порядка доступности, целостности, достоверности и конфиденциальности персональных данных и обеспечивающий безопасность информации в процессе управленческой и производственной деятельности компании.

Для обеспечения внешней защиты персональных данных работников работодатель должен принять следующие меры:

Установить пропускной режим и особый порядок приема, учета и контроля деятельности посетителей;

Установить особый порядок выдачи пропусков и удостоверений работников;

Использовать технические средства охраны;

Использовать программно-технический комплекс защиты информации на электронных носителях и пр.

Для обеспечения внутренней защиты персональных данных работников работодатель должен предпринять следующее:

Ограничить и регламентировать состав работников, функциональные обязанности которых требуют доступа к персональным данным других работников;

Избирательно и обоснованно распределить документы и информацию, содержащую персональные данные, между лицами, уполномоченными на работу с такими данными;

Рационально размещать рабочие места для исключения бесконтрольного использования защищаемой информации;

Регулярно проверять знание работниками, имеющими отношение к работе с персональными данными, требований нормативно-методических документов по защите таких данных;

Создавать необходимые условия для работы с документами и базами данных, содержащими персональные данные работников;

Определять состав работников, имеющих право доступа (входа) в помещения, в которых хранятся персональные данные;

Организовать порядок уничтожения информации;

Своевременно выявлять и устранять нарушения установленных требований по защите персональных данных работников;

Проводить профилактическую работу с должностными лицами, имеющими доступ к персональным данным работников, по предупреждению разглашения таких сведений.

Федеральный закон от 27.07.2006 N 152-ФЗ (ред. от 31.12.2017) "О персональных данных"
""Статья 9. Согласие субъекта персональных данных на обработку его персональных данных

""1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором.

""2. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона.

""3. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора.

""4. В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности:

1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;

2) фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных);

3) наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных;

4) цель обработки персональных данных;

""5) перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;

6) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;

""7) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;

8) срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;

9) подпись субъекта персональных данных.

5. Порядок получения в форме электронного документа согласия субъекта персональных данных на обработку его персональных данных в целях предоставления государственных и муниципальных услуг, а также услуг, которые являются необходимыми и обязательными для предоставления государственных и муниципальных услуг, устанавливается Правительством Российской Федерации.

""6. В случае недееспособности субъекта персональных данных согласие на обработку его персональных данных дает законный представитель субъекта персональных данных.

""7. В случае смерти субъекта персональных данных согласие на обработку его персональных данных дают наследники субъекта персональных данных, если такое согласие не было дано субъектом персональных данных при его жизни.

""8. Персональные данные могут быть получены оператором от лица, не являющегося субъектом персональных данных, при условии предоставления оператору подтверждения наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона.

"Практический бухгалтерский учет", 2012, N 3

Практически любая информация, которая помогает идентифицировать человека, является персональными данными (ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", далее - Закон о персональных данных).

К персональным данным относятся:

фамилия, имя, отчество;
пол, возраст;
физиологические особенности человека;
образование, квалификация, профессиональная подготовка и сведения о повышении квалификации;
состояние здоровья;
принадлежность лица к конкретной нации, этнической группе, расе;
место жительства;
привычки, в том числе и вредные;
семейное положение (наличие или отсутствие детей, родственные связи);
биография;
предыдущая трудовая деятельность;
религиозные и политические убеждения;
финансовое положение;
деловые и иные личные качества и т.д.

Однако согласно ТК РФ персональными данными работника является информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного работника (ст. 85 ТК РФ). То есть из всего вышеперечисленного работодатель вправе потребовать от работника лишь ту информацию, которая характеризует его трудовые качества.

Примечание. Хотя фотография и не относится к персональным данным, но использовать ее без согласия работника (впрочем, как и любого другого человека) нельзя. Это прямо запрещено ст. 152.1 ГК РФ.

Получение персональных данных у третьих лиц: уведомление...

По общему правилу все персональные данные следует получать лично у работника (п. 3 ст. 86 ТК РФ). Однако как быть, например, если работник потерял трудовую книжку и просит содействия в получении информации от предыдущих работодателей? Очевидно, что сотрудник согласен на получение данных от третьих лиц, иначе бы он не просил об этом. Однако работодателю все равно следует письменно уведомить работника о получении персональных данных от третьих лиц.

Примечание. Внимание: персональные данные сотрудника могут запрашиваться у третьего лица исключительно в целях соблюдения требований закона (п. 1 ст. 86 ТК РФ). Например , для содействия в трудоустройстве, обеспечения безопасности, дальнейшего повышения квалификации, сохранности имущества и т.д.

Причем в уведомлении должны быть указаны:

цели получения персональных данных;
предполагаемые источники получения персональных данных;
способы получения персональных данных;
характер подлежащих получению данных;
последствия отказа работника дать согласие на получение.

Приведем образец такого уведомления.

Общество с ограниченной ответственностью ООО "Правильное"

Менеджеру отдела продаж

В.П. Терехову

УВЕДОМЛЕНИЕ о получении персональных данных от третьих лиц

Уважаемый Валентин Петрович!

В соответствии с Вашим заявлением об утрате трудовой книжки и просьбе оказать содействие в сборе сведений о предыдущих местах работы и периодах трудовой деятельности ООО "Правильное" запросит эти персональные данные от третьих лиц.

Цель запроса - подтверждение страхового стажа.

Сведения будут запрашиваться в письменной форме при помощи средств почтовой связи.

Просим Вас дать согласие на получение персональных данных от третьих лиц (п. 3 ст. 86 ТК РФ).

Если персональные данные работника возможно получить только у третьей стороны, то работник должен дать письменное согласие (п. 3 ст. 86 ТК РФ). Оно может выглядеть, например, следующим образом.

Генеральному директору

ООО "Правильное"

Правильному М.А.

от менеджера отдела продаж

Терехова Валентина Петровича,

паспорт 45 06 123456, выд. УВД МО

"Отрадное" г. Москвы 11.11.2003,

зарегистрированного по адресу: 123321,

Москва, ул. Тенистая, д. 3, кв. 10

СОГЛАСИЕ на получение персональных данных от третьих лиц

Я, Терехов Валентин Петрович, в соответствии со ст. 9 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" настоящим даю согласие ООО "Правильное" на получение моих персональных данных о предыдущих местах работы и периодах трудовой деятельности от третьих лиц.

Настоящее Согласие действует со дня его подписания до дня отзыва в письменной форме.

Дата, подпись

Утверждаем список лиц, имеющих доступ

Очевидно, что ряду сотрудников необходимо иметь доступ к персональным данным. К примеру, для оформления стандартных налоговых вычетов бухгалтеру могут потребоваться данные о составе семьи и детях, секретарю - паспортные данные и Ф.И.О. для приобретения билетов и бронирования гостиницы командированному и т.д.

Работодатель вправе разрешить доступ к персональным данным работников только специально уполномоченным лицам (ст. 88 ТК РФ), причем таким уполномоченным будут доступны только те данные, которые необходимы для выполнения конкретных функций.

Перечень работников, имеющих доступ к персональным данным других работников, устанавливается локальным нормативным актом организации, а также приказом по следующей примерной форме.

Общество с ограниченной

ответственностью

ООО "Правильное"

ПРИКАЗ Об установлении списка лиц, имеющих доступ к персональным данным работников ООО "Правильное" В соответствии со ст. 88 ТК РФ ПРИКАЗЫВАЮ:

Установить следующий перечень работников, имеющих доступ к персональным данным работников ООО "Правильное":

генеральный директор и главный бухгалтер Правильный М.А.;
менеджер по кадрам Ефремова Л.И.;
юрисконсульт Валеева А.Н.;
начальник отдела продаж Гаврилов И.П. (доступ к персональным данным сотрудников отдела продаж);
начальник транспортного цеха Сержантов Т.И. (доступ к персональным данным сотрудников транспортного цеха).

Контроль за исполнением приказа оставляю за собой.

С приказом уполномоченные лица должны быть ознакомлены под роспись.

Положение о персональных данных необходимо

Положение о персональных данных работников - это тот локальный акт, который должен быть в любой организации. Объясняется это следующим.

Порядок хранения и использования персональных данных работников устанавливается работодателем с учетом требований Трудового кодекса РФ и иных федеральных законов (ст. 87 ТК РФ). Таким образом, ТК РФ предусматривает, что порядок обработки персональных данных должен быть конкретизирован на локальном уровне. То есть работодатель должен локальным нормативным актом (т.е. положением о персональных данных) определить порядок хранения, обработки и использования персональных данных.

Наконец, как показывает практика, отсутствие такого акта квалифицируется как нарушение трудового законодательства (Постановление ФАС Московского округа от 26.10.2006 N КА-А40/10220-06).

Положение о персональных данных может состоять из следующих частей:

общие положения: цели и задачи принятия положения и вопросы, которые оно регулирует;
состав персональных данных работников;
обработка персональных данных;
передача персональных данных;
доступ к персональным данным;
ответственность за нарушение норм, регулирующих обработку и защиту персональных данных.

Положение может быть составлено с использованием следующего образца.

Общество с ограниченной

ответственностью

ООО "Правильное"

ПОЛОЖЕНИЕ о персональных данных 1. Общие положения

1.1. Настоящим Положением определяется порядок обращения с персональными данными работников ООО "Правильное" (далее - Работодатель).

1.2. Положение утверждено с целью обеспечить соблюдение законных прав и интересов Работодателя и его работников при получении, сборе, систематизации, хранении и передаче сведений, составляющих персональные данные.

1.3. Персональными данными работника является любая информация, относящаяся к работнику и необходимая Работодателю в связи с трудовыми отношениями.

1.4. Сведения о персональных данных работников относятся к категории конфиденциальных. Сведения перестают относиться к категории конфиденциальных:

в случае их обезличивания, т.е. действий, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
по истечении 75 (семидесяти пяти) лет срока их хранения;
в иных случаях, предусмотренных федеральными законами.

2. Основные понятия. Состав персональных данных работников

2.1. Для целей настоящего Положения используются следующие основные понятия:

персональные данные - любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных);
обработка персональных данных работника - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
распространение персональных данных - действия, направленные на раскрытие персональных данных работников неопределенному кругу лиц;
предоставление персональных данных - действия, направленные на раскрытие персональных данных работников определенному лицу или определенному кругу лиц;
блокирование персональных данных - временное прекращение обработки персональных данных работников (за исключением случаев, если обработка необходима для уточнения персональных данных);
уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных работников и (или) в результате которых уничтожаются материальные носители персональных данных работников;
обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному работнику;
информация - сведения (сообщения, данные) независимо от формы их представления;
документированная информация - зафиксированная на материальном носителе путем документирования информация с реквизитами, позволяющими определить такую информацию или ее материальный носитель.

2.2. Сведения, представляемые при поступлении на работу, должны иметь документальную форму.

2.3. При оформлении работника отделом кадров заполняется унифицированная форма Т-2 "Личная карточка работника", в которой отражаются следующие анкетные и биографические данные работника:

общие сведения (Ф.И.О., дата рождения, место рождения, гражданство, образование, профессия, стаж работы, семейное положение, паспортные данные);
сведения о воинском учете;
данные о приеме на работу;
сведения об аттестации;
сведения о повышении квалификации;
сведения о профессиональной переподготовке;
сведения о наградах (поощрениях), почетных званиях;
сведения об отпусках;
сведения о социальных гарантиях;
сведения о месте жительства и о контактных телефонах.

2.4. В отделе кадров Работодателя создаются и хранятся документы, содержащие персональные данные работников:

документы, оформляющие трудовые отношения при приеме на работу, переводе, увольнении;
документы, применяемые при анкетировании, тестировании, проведении собеседований;
подлинники и копии приказов (распоряжений) по кадрам;
личные дела и трудовые книжки;
материалы - основания к приказу по личному составу;
материалы аттестаций работников;
материалы внутренних расследований;
справочно-информационный банк данных по персоналу (картотеки, журналы);
копии отчетов, направляемых в государственные органы статистики, налоговые инспекции, вышестоящие органы управления и другие учреждения.

3. Обработка персональных данных работников

3.1. Источником информации обо всех персональных данных работника является непосредственно работник. Если персональные данные возможно получить только у третьей стороны, то работник должен быть заранее в письменной форме уведомлен об этом, и от него должно быть получено письменное согласие. Работодатель обязан сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о последствиях отказа работника дать письменное согласие на их получение.

3.2. Работодатель не имеет права получать и обрабатывать персональные данные работника о его расовой, национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни. В случаях, непосредственно связанных с вопросами трудовых отношений, в соответствии со ст. 24 Конституции РФ работодатель вправе получать и обрабатывать данные о частной жизни работника только с его письменного согласия.

3.3. Обработка персональных данных работников работодателем возможна только с их согласия либо без их согласия в следующих случаях:

персональные данные являются общедоступными;
персональные данные относятся к состоянию здоровья работника, и их обработка необходима для защиты его жизни, здоровья или иных жизненно важных интересов других лиц, и получение согласия работника невозможно;
по требованию полномочных государственных органов в случаях, предусмотренных федеральным законом.

3.4. Работодатель вправе обрабатывать персональные данные работников только с их письменного согласия.

3.5. Согласия работника не требуется, если обработка персональных данных:

осуществляется на основании Трудового кодекса РФ или иного федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определенного полномочия работодателя;
производится в целях исполнения трудового договора;
осуществляется для статистических или иных научных целей при условии обязательного обезличивания персональных данных;
необходима для защиты жизни, здоровья или иных жизненно важных интересов работника, если получение его согласия невозможно.

3.7. Работник представляет в отдел кадров достоверные сведения о себе. Отдел кадров проверяет достоверность сведений.

3.8. Обработка персональных данных может осуществляться исключительно в целях обеспечения соблюдения законов или иных правовых актов, содействия работникам в трудоустройстве, обучении и профессиональном продвижении, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества.

3.9. При определении объема и содержания обрабатываемых персональных данных Работодатель должен руководствоваться Конституцией РФ, Трудовым кодексом РФ и иными федеральными законами.

3.10. При принятии решений, затрагивающих интересы работника, Работодатель не имеет права основываться на персональных данных, полученных о нем исключительно в результате их автоматизированной обработки или электронного получения.

3.11. Защита персональных данных работника от неправомерного их использования, утраты обеспечивается Работодателем за счет его средств в порядке, установленном федеральным законом.

3.12. Работники и их представители должны быть ознакомлены под расписку с документами, устанавливающими порядок обработки персональных данных, а также об их правах и обязанностях в этой области.

3.13. Отказ работника от своих прав на сохранение и защиту тайны недействителен.

4. Передача персональных данных

4.1. При передаче персональных данных работника Работодатель обязан:

не сообщать персональные данные работника третьей стороне без письменного согласия работника. Исключение составляют случаи, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в случаях, установленных федеральным законом;
не сообщать персональные данные работника в коммерческих целях без его письменного согласия;
предупреждать лиц, получивших персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждение того, что это правило соблюдено;
осуществлять передачу персональных данных работников в соответствии с настоящим Положением;
разрешать доступ к персональным данным работников только специально уполномоченным лицам. Указанные лица должны иметь право получать только те персональные данные, которые необходимы для выполнения конкретной функции;
не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции;
передавать персональные данные работника его законным, полномочным представителям в порядке, установленном Трудовым кодексом РФ, и ограничивать эту информацию только теми персональными данными, которые необходимы для выполнения указанными представителями их функции.

4.2. Персональные данные работников обрабатываются и хранятся в отделе кадров.

4.3. Персональные данные работников могут быть получены, проходить дальнейшую обработку и передаваться на хранение как на бумажных носителях, так и в электронном виде.

4.4. При получении персональных данных не от работника (за исключением случаев, если персональные данные являются общедоступными) работодатель до начала обработки таких персональных данных обязан предоставить работнику следующую информацию:

наименование (фамилия, имя, отчество) и адрес оператора или его представителя;
цель обработки персональных данных и ее правовое основание;
предполагаемые пользователи персональных данных;
установленные федеральными законами права субъекта персональных данных.

5. Доступ к персональным данным работников

5.1. Право доступа к персональным данным работников имеют лица, указанные в перечне, утвержденном приказом Работодателя.

5.2. Работник имеет право:

5.2.1. Получать доступ к своим персональным данным, возможность ознакомиться с ними, в том числе получать безвозмездно копии любой записи, содержащей его персональные данные.

5.2.2. Требовать от Работодателя уточнения, исключения или исправления неполных, неверных, устаревших, недостоверных, незаконно полученных или не являющихся необходимыми для работодателя персональных данных.

5.2.3. Получать от Работодателя сведения:

о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ;
о перечне обрабатываемых персональных данных и источниках их получения;
о сроках обработки персональных данных и сроках их хранения;
о правовых последствиях обработки его персональных данных.

5.2.4. Требовать извещения Работодателем всех лиц, которым ранее были сообщены неверные или неполные персональные данные, обо всех произведенных в них исключениях, исправлениях или дополнениях.

5.3. Копирование персональных данных работника возможно исключительно в служебных целях с письменного разрешения начальника отдела кадров.

5.4. Передача информации третьей стороне возможна исключительно с согласия работника, выраженного в письменной форме.

6. Ответственность за нарушение норм, регулирующих обработку персональных данных

6.1. Сотрудники Работодателя, виновные в нарушении порядка обращения с персональными данными, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с федеральными законами.

6.2. Работодатель за нарушение порядка обращения с персональными данными несет административную ответственность согласно ст. ст. 5.27 и 5.39 КоАП РФ. Работодатель также возмещает работнику ущерб, причиненный неправомерным использованием информации, содержащей персональные данные об этом работнике.

Замечание напоследок

Отсутствие такого положения и неознакомление с ним работников могут повлечь за собой ответственность по ст. 5.27 КоАП РФ. Кстати, с положением должны быть ознакомлены не только уже работающие, но и потенциальные сотрудники.

А если мысль оформить такое положение возникла у вас лишь сейчас, а на день приема на работу сотрудника положение отсутствовало физически?

Лучший вариант - оформить это положение и под роспись ознакомить с ним всех сотрудников. Если на дату проведения проверки трудинспектор установит, что положение есть и работники с ним ознакомлены, то оснований для применения штрафных санкций не будет.

М.Дашевская

ООО "Гардарика-XXI"

Обработка персональных данных без согласия субъекта возможна только в установленных законом случаях. Использование таких сведений с нарушением порядка или без соответствующих оснований влечет привлечение виновных к гражданской, трудовой, административной и уголовной ответственности.

В каких случаях допускается передача третьим лицам и иная обработка персональных сведений о субъекте?

Закон «О персональных данных» от 27.07.2006 № 152-ФЗ установил 2 варианта, при которых обработка личных сведений гражданина (субъекта) законна:

При получении его согласия на это.
Без получения согласия в случаях:
- использования информации иными людьми для личных и семейных нужд, если это не нарушает права гражданина;
- внесения персональной информации в базу Архивного фонда России;
- принятия решения об отнесении информации к государственной тайне (в данном случае согласия субъекта не требуется для засекречивания сведений о нем);
- необходимости использования сведений в целях осуществления Россией условий международных договоров и законов;
- участия лица в процессе судопроизводства и в связи с таковым участием;
- использования для исполнения судебного акта или положений документа, принятого органами исполнительного производства;
- получения лицом муниципальных или государственных услуг;
- признания человеком сведений о себе общедоступными;
- заключения и исполнения договора, в котором субъект выступает стороной или выгодоприобретателем;
- невозможности получения согласия при угрозе жизни, здоровью, важным интересам лица;
- реализации прав, обеспечения интересов оператора (обрабатывающего информацию лица) или третьих лиц, достижения общественно значимых целей;
- осуществления профессиональной деятельности журналистами и СМИ, творческой деятельности, когда это не нарушает права человека;
- использования обезличенных сведений о лице в исследовательских и статистических целях, за исключением политической агитации, продвижения товаров, услуг и работ на рынке;
- необходимости обязательного раскрытия, опубликования данных на основании указания закона (например, госслужащие обязаны раскрывать сведения о своих доходах).

Порядок обработки (хранения, распространения и т. п.) информации без получения одобрения субъекта

Общая процедура обработки операторами личных данных о гражданах без их специального разрешения выглядит следующим образом:

Оператор при наличии законных оснований получает информацию. Извещать лицо о начале обработке его сведений не требуется, но в ряде случаев уведомление направляется в Роскомнадзор.
Оператор осуществляет необходимые действия (собирает, записывает, передает, уточняет и т. д.). Как указано в ст. 5 закона № 152-ФЗ, действия пользователя ограничены целью обработки.
После достижения целей или после прекращения необходимости использования данные уничтожаются или обезличиваются.

Дополнительным этапом может стать оспаривание физическим лицом правомерности использования информации о нем. Органом рассмотрения споров является (на выбор гражданина) суд или Роскомнадзор. В ходе разрешения конфликта оператором предъявляются доказательства наличия обстоятельств, позволяющих ему использовать данные без одобрения или вопреки запрету гражданина.

Ответственность оператора

В случае нарушения оператором процедуры и условий обработки персональной информации он может быть привлечен к различным видам ответственности:

Вид ответственности	Пример нарушения	Наказание	Правовое основание
Гражданская	Причинение морального вреда	Выплата компенсации	Ст. 24 закона № 152-ФЗ, ст. 1099 ГК
Дисциплинарная	Разглашение персональных сведений о другом трудящемся	Увольнение
Дисциплинарная	Нарушение законодательства при обработке информации	Привлечение к дисциплинарной и материальной ответственности
Административная	Обработка сведений, противоречащая цели сбора данных	гражданам — 1000-3000 руб.; должностным лицам — 5000-10 000 руб.; организациям — 30 000-50 000 руб.	Ч. 1 ст. 13.11 КоАП
Уголовная	Посягательство на неприкосновенность частной жизни	Санкция альтернативная: штраф до 200 000 руб., обязательные работы до 360 часов, исправительные — до 1 года, принудительные — до 2 лет, лишение свободы до 2 лет и пр.	Ч. 1 ст. 137 УК
	Отказ или обман со стороны должностного лица при предоставлении гражданину информации о нем	Штраф (200 000 руб. или доход за срок до полутора лет) либо лишение права заниматься определенной деятельностью в течение 2-5 лет
	Доступ к компьютерной информации без права на это	Штраф (200 000 руб. или доход за срок до полутора лет), исправительные работы до года либо принудительные работы, ограничение или лишение свободы сроком до 2 лет	Ч. 1 ст. 272 УК

Таким образом, обработка информации без разрешения субъекта возможна, если оператору такое право предоставлено законодательно. Использование сведений при этом должно осуществляться в той мере, которая требуется для достижения целей оператора, после чего данные уничтожаются или обезличиваются. Лицо, считающее, что его персональные данные использованы незаконно, вправе обратиться в суд или Роскомнадзор.

Не знаете свои права?