Сбор персональных данных – теперь это мрак. Коснется всех!
Здравствуйте, в этой статье мы постараемся ответить на вопрос: «Сбор персональных данных – теперь это мрак. Коснется всех!». Если у Вас нет времени на чтение или статья не полностью решает Вашу проблему, можете получить онлайн консультацию квалифицированного юриста в форме ниже.
Иногда работодатели публикуют в интернете «чёрные» списки сотрудников, с которыми у них возникали проблемы. При этом они не учитывают тот факт, что персональные данные работника — это защищаемая законом информация, и её нельзя использовать по своему усмотрению. Основы для этого заложены в Конституции Российской Федерации.
Подотчетным станет сбор персональных данных:
- в ходе трудовых отношений,
- при заключении договоров с мобильными операторами, общественными объединениями или религиозными организациями, государственными автоматизированными информационными системами,
- уже упомянутых ФИО,
- даже если люди дают согласие на сбор и обработку своих персональных данных. Поэтому мы так часто должны были ставить галочки в окошках согласия на обработку данных: это снимало с компаний обязанность отчитываться перед Роскомнадзором, но с 1 сентября 2022 года наше согласие перестанет что-то значит и требовать его с нас не будет смысла,
- для выдачи пропуска (в том числе одноразового) на территорию или в здание (с 1 сентября 2022 года это становится незаконным, если организация не уведомила Роскомнадзор о сборе персональных данных).
Хранение и использование персональных данных
В соответствии со ст. 87 ТК РФ порядок хранения и использования персональных данных работников устанавливается работодателем. Работодатель должен издать соответствующий локальный нормативный акт, регулирующий вопросы хранения и использования персональных данных, а также обеспечивающий защиту последних от неправомерного их использования или утраты. С соответствующим актом, а также со своими правами в сфере защиты персональных данных работники должны быть ознакомлены под подпись.
Работодатель утверждает перечень сотрудников, которые будут обрабатывать персональные данные и которые имеют к ним доступ. Чаще всего это входит в обязанности бухгалтера и кадрового специалиста. Таким сотрудникам будут доступны только те данные, которые необходимы для выполнения конкретных функций, то есть по конкретным направлениям их деятельности (ст. 88 ТК РФ).
Порядок допуска к персональным данным сотрудников закон не устанавливает. Поэтому работодатель вправе определить его самостоятельно и прописать в локальном акте организации, например, в Регламенте допуска работников к обработке персональных данных. В этом документе также необходимо указать конкретный перечень сотрудников, которые имеют доступ к персональным данным других сотрудников.
Также издайте приказ, в котором пропишите должности и фамилии сотрудников, а также закрепленные за ними объекты обработки персональных данных.
Новые штрафы за нарушение правил обработки персональных данных
Неправомерная (без соответствующего согласия) обработка и распространение общедоступных персональных данных, равно как и отказ от их удаления из общего доступа по требованию граждан, влечет для организаций и ИП штрафы по ч. 1 ст. 13.11 КоАП РФ. Эта норма предусматривает для ИП и должностных лиц организаций в размере от 5 000 до 10 000 рублей, а для самих организаций – от 30 000 до 50 000 рублей.
Но уже с 27 марта 2021 года штрафы за совершение вышеуказанных нарушений будут в значительной степени увеличены (Федеральный закон от 24.02.2021 № 19-ФЗ). Так, штраф для ИП и должностных лиц организаций составит от 10 000 до 20 000 рублей, а для организаций – от 60 000 до 100 000 рублей.
Повторное нарушение повлечет взыскание штрафа с должностных лиц организаций в размере от 20 000 до 50 000 рублей, с ИП – в размере от 50 000 до 100 000 рублей, а с организаций – в размере от 100 000 до 300 000 рублей (новая ч. 1.1 ст. 13.11 КоАП РФ).
Одновременно будут увеличены штрафы и за саму обработку персональных данных без получения соответствующего согласия в письменной форме (ч. 2 ст. 13.11 КоАП РФ). Сейчас обработка персональных данных без согласия гражданина грозит физлицам штрафом в размере от 3 000 до 5 000 рублей, должностным лицам – от 10 000 до 20 000 рублей, а организациям – от 15 000 до 75 000 рублей. Такие же штрафы назначаются и за обработку персональных данных с нарушением требований к составу сведений, включаемых в согласие.
С 27 марта обработка персональных данных без разрешения повлечет наложение на физлиц штрафа в размере от 6 000 до 10 000 рублей. Должностным лицам организаций и ИП совершение этих нарушений обойдется штрафом в размере от 20 000 до 40 000 рублей, а организациям – от 30 000 до 150 000 рублей.
Как получить согласие на обработку персональных данных
Обработка персональных данных — это любые действия с личной информацией:
- получение;
- структуризация;
- хранение на носителях — в электронных и бумажных архивах;
- анализ;
- использование в коммерческой, социальной, государственной деятельности;
- передача другим владельцам или предоставление доступа к базе;
- обезличивание — устранение очевидной связи между человеком и его ПД;
- блокировка — временная остановка работы с информацией по запросу граждан или регулятора;
- удаление и обновление;
- ликвидация без возможности восстановления.
Защита персональной информации, полученной из анкет
Зачастую работодатели используют анкеты как инструмент первичного отбора кандидатов. В этой ситуации также надо помнить про защиту персональной информации соискателя. Необходимо обратить внимание на такие моменты:
- любая такая анкета должна включать сведения о сроке ее рассмотрения;
- нужно четко указать цель обработки персональной информации, которая получена через анкетирование. Цель должна обозначаться через указание конкретных действий и сроков их осуществления;
- в анкете должен быть пункт, в котором соискатель указывает, что он согласен на обработку персональной информации;
- у анкеты не должно быть технической возможности объединить поля для внесений информации, цели обработки которой изначально не совместимы.
Использование личной информации в компании
Часто возникает вопрос о том, что входит в состав персональных данных работника юридического лица и как осуществлять хранение подобной информации. Согласно Трудовому Кодексу, к ПДн сотрудника относится информация, позволяющая составить представление о нем как о работнике, то есть стаж деятельности, уровень квалификации и зарплаты, пенсионные и налоговые отчисления и т.д. Обязанность предприятия — позаботиться об их защите и использовании для создания оптимальных условий развития профессиональных навыков и повышения квалификации. Кроме того, работодатель должен сообщить, как именно будут использоваться персональные данные физического лица. Предварительно создаются и внедряются специальные распорядительные документы внутреннего использования, в частности, требуется Инструкция либо Положение о ПДн.
Сбор сведений производится для выполнения следующих задач:
- профилактики разглашения корпоративной тайны и обеспечения сохранности имущества;
- приема на работу и документального закрепления этого события;
- получения оснований для установления той или иной заработной платы;
- проверки выполнения персоналом возложенных на них обязанностей;
- выявления и подтверждения причин для перевода сотрудника на более высокую должность.
При нарушениях законодательства либо утечке персональных данных (намеренной либо из-за недостаточно эффективной системы защиты) предприятие может быть привлечено к административной ответственности в виде штрафа до 18 миллионов рублей. Выявить недоработки и своевременно их исправить позволит аудит, проведенный специалистами нашего Центра — наши специалисты помогут установить, насколько защищены частные данные, и составят рекомендации по оптимизации.
Образец согласия на предоставление персональных данных
Предоставление ПД – действия определенного характера, благодаря которым раскрываются ПД какому-либо лицу или группе лиц.
Если вам необходимо составить согласие о предоставлении своих ПД, то в письменной форме вы должны указать следующее:
- ФИО, местожительства, данные, изложенные в паспорте;
- ФИО и местожительства представителя владельца ПД, данные, изложенные в паспорте, доверенность;
- наименование или ФИО оператора, который получает согласие;
- цели, из-за которых производится обработка ПД;
- перечень ПД, на доступ к которым вы даете согласие;
- наименование или ФИО и адрес того, кто по назначению оператора будет обрабатывать данные;
- период, на протяжении которого будет действовать разрешение на доступ к сведениям их владельца;
- подпись владельца ПД.
Персональные данные – использование на предприятии
В главе 14 Трудового кодекса РФ раскрывается понятие ПД работника. Это данные, которые позволяют получить определенные характеристики человека в качестве сотрудника конкретной компании (стаж работы, профессиональная квалификация, заработная плата, данные по ФНС, ПФР и пр.).
Такие ПД должны храниться должным образом и применяться для того, чтобы помочь работнику выполнять его обязанности в соответствии с его должностью и профессией, продвигаться по служебной лестнице, повышать свою квалификацию и получать новые профессиональные знания. Также ПД используются с целью защиты сотрудников и имущества компании.
Личная информация сотрудника может содержать только те данные, которые относятся к его профессиональным качествам, особенностям, позволяющим ему выполнять трудовые обязанности. По Конституции Российской Федерации, личная жизнь считается неприкосновенной и конфиденциальной, ее частью являются ПД.
В Трудовом кодексе узко определено данное понятие. В нем говорится, что ПД работника являются сведениями, необходимыми руководству предприятий для выполнения им своих профессиональных обязанностей, эта информация относится к конкретному работнику.
Являются ли паспортные данные персональными данными?
Согласно п. 1 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных» (далее — Закон о персональных данных) к персональным данным относится любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). То есть лишь сведения, которые с достоверностью позволяют идентифицировать лицо.
Следовательно, основным критерием при определении персонализации необходимо, чтобы информация была однозначно соотносима с определенным человеком.
Судебная практика относит к числу персональных данных следующую информацию о гражданине:
— фамилия, имя, отчество;
— дата и место рождения;
— адрес места регистрации и места проживания;
— семейное, социальное, имущественное положение;
— образование, профессия, доходы, другая информация (Постановление Арбитражного суда Северо-Кавказского округа от 29.05.2020 N Ф08-1324/2020 по делу N А53-11417/2019; Постановление Арбитражного суда Северо-Кавказского округа от 03.04.2019 N Ф08-1028/2019 по делу N А53-26369/2018 (Определением Верховного Суда РФ от 06.06.2019 N 308-ЭС19-9542 отказано в передаче дела N А53-26369/2018 в Судебную коллегию по экономическим спорам Верховного Суда РФ для пересмотра в порядке кассационного производства данного Постановления); Постановление Арбитражного суда Западно-Сибирского округа от 03.10.2018 N Ф04-4286/2018 по делу N А27-5719/2017; Определение Московского городского суда от 17.09.2012 N 4г/6-7692; Определение Московского городского суда от 29.02.2012 по делу N 33-6709).
К данному перечню может быть отнесена иная информация, неразрывно связанная с личностью ее обладателя (Постановление Тринадцатого арбитражного апелляционного суда от 21.06.2010 по делу N А56-4788/2010).
Действующее законодательство РФ не содержит легального определения «паспортные данные», однако идентифицирующие лицо признаки указываются отдельно, например ФИО гражданина (п. 4 Положения о паспорте гражданина Российской Федерации, утв. Постановлением Правительства РФ от 08.07.1997 N 828; ст. 84 НК РФ; пп. «л» ч. 1 ст. 5 Федерального закона от 08.08.2001 N 129-ФЗ «О государственной регистрации юридических лиц и индивидуальных предпринимателей»).
В соответствии с п. 3 Описания бланка паспорта гражданина Российской Федерации, утв. Постановлением Правительства РФ от 08.07.1997 N 828 (далее — Описание бланка паспорта гражданина РФ), нумерация бланка паспорта состоит из 3 групп цифр. Первые 2 группы, состоящие из 4 цифр, обозначают серию бланка паспорта, третья группа, состоящая из 6 цифр, обозначает номер бланка паспорта.
Таким образом, с учетом норм действующего законодательства и судебной практики можно сделать вывод, что под паспортными данными понимаются данные паспорта как бланка (серия, номер, дата выдачи, наименование выдавшего органа, код подразделения) и данные о владельце паспорта (фамилия, имя, отчество, дата и место рождения, адрес регистрации, семейное положение, сведения о детях).
Такие паспортные данные, как серия и номер, являются неотъемлемыми реквизитами самого паспорта как документа, делающие его уникальным бланком среди прочих. И их можно отнести к персональным данным.
В Постановлении Президиума ВАС РФ от 16.06.2009 N 750/09 по делу N А43-3182/2008-5-74 отмечено, что суд располагал полученными от соответствующего органа сведениями, подтверждающими принадлежность паспорта определенной серии и определенного номера конкретному гражданину, т.е. у суда имелась возможность идентифицировать лицо.
Суды часто делают выводы о том, что серия и номер паспорта, дата его выдачи, наименование органа, его выдавшего, код подразделения (данные паспорта) относятся не к личности гражданина, а к бланку документа, удостоверяющего его личность, в связи с чем не относятся к персональным данным (Постановление Седьмого арбитражного апелляционного суда от 05.04.2018 N 07АП-1437/2018 по делу N А45-31682/2017, Постановление Седьмого арбитражного апелляционного суда от 19.03.2018 N 07АП-1435/2018 по делу N А45-31683/2017, Постановление Девятого арбитражного апелляционного суда от 02.11.2010 N 09АП-23673/2010-ГК по делу N А40-30314/09-45-201, Постановление Тринадцатого арбитражного апелляционного суда от 21.06.2010 по делу N А56-4788/2010, Определение Московского городского суда от 17.09.2012 N 4г/6-7692; Определение Московского городского суда от 29.02.2012 по делу N 33-6709). Например, в Определении Верховного Суда РФ от 08.09.2020 N 308-ЭС20-11154 по делу N А63-13382/2019 указано, что к информации, позволяющей идентифицировать лицо, относится совокупность следующих данных: фамилия, имя, отчество, номер и серия паспорта и т.д.
Имеется также судебная практика, где серия и номер паспорта рассматриваются в качестве персональных данных (Определение Верховного Суда РФ от 08.09.2020 N 308-ЭС20-11154 по делу N А63-13382/2019, Апелляционное определение Верховного суда Республики Адыгея от 26.01.2018 по делу N 33-42/2018).
Аналогичный смысл заложен в ст. 84 НК РФ и Определении Московского городского суда от 13.05.2019 N 4г-4164/19.
В каких документах есть персональные данные
В процессе работы кадровая служба копит и хранит сведения о сотруднике, заключенные в следующих документах:
| Документы | Какие персональные данные в них содержатся |
| Резюме, анкета, автобиография, личный листок по учету кадров | Личные качества, биографические данные |
| Копия удостоверения личности | ФИО, дата и место рождения, адрес регистрации, семейное положение, реквизиты самого удостоверения |
| Личная карточка № Т-2 | Дополнительно к данным удостоверения личности указывается состав семьи и образование |
| Трудовая книжка | Трудовой стаж, места работы |
| Копии свидетельств о заключении брака, рождении детей | Сведения о составе семьи |
| Документы воинского учета | Отношение работника к воинской обязанности |
| Справка о доходах с предыдущего места работы | Уровень заработка на предыдущем месте трудоустройства |
| Документы об образовании | Уровень образования |
| СНИЛС, ИНН | Индивидуальные номера гражданина в системе пенсионного страхования и для налоговых органов |
| Трудовой договор | Должность, заработная плата, место работы |
| Приказы по личному составу и их копии | Информация о приеме, переводе, повышении, увольнении |
В качестве персональных выступают и другие данные, не перечисленные в таблице. Например, информация о соискателях для принятия руководством решения о приеме нового сотрудника из нескольких кандидатур.
Нормативно-правовая база
Основные юридические документы, устанавливающие принципы использования ПДн:
- Конституция Российской Федерации. Статьи 23 и 24 гарантируют гражданам неприкосновенность частной жизни, личную и семейную тайну, конфиденциальность в переписке, телефонных разговорах и иных сообщениях. Согласно этим положениям, ПДн принадлежат только их носителю и не должны контролироваться третьими лицами без его согласия. Со стороны государства гарантируется защита этого права граждан.
- Федеральный закон № 152-ФЗ «О персональных данных» от 27.07.2006 определяет, кто и на каких условиях может использовать ПДн гражданина.
- Ребенок скрипит зубами во сне
- Свиная рулька запеченная в духовке
- Что значит зеленый кал у ребенка и взрослого человека
Для работников различных отраслей существуют отдельные нормативные акты, регулирующие правила обработки личной информации:
- Для трудящихся в организациях энергетической отрасли – Приказ Минэнерго России №166 «О работе по обработке персональных данных» от 11.11.2008.
- Для госслужащих – Федеральный Закон №79-ФЗ «О государственной гражданской службе РФ» от 27.07.2004.
Хранение ПДн и механизм защиты
В соответствии с требованиями законодательства, операторы должны самостоятельно использовать средства обеспечения безопасности для собранных ими персональных данных. Это реализуется при помощи:
- Допуска к работе с информационной системой только заранее определенного круга лиц, имеющих соответствующие инструкции и предупрежденных об ответственности за несанкционированное распространение сведений. Если компьютерная ИС содержит ПДн специального типа, то работа с ней (просмотры, изменения и др.) должны фиксироваться в специальном электронном журнале. С помощью современных информационных технологий можно сделать этот процесс автоматическим.
- Мер по созданию высокого уровня защищенности ИС, блокировке несанкционированного доступа (например, в результате хакерской атаки), оперативному восстановлению исходной информации из резервной копии в случае нанесения урона компьютерным вирусом и пр. Если личные сведения находятся в аналоговой форме (например, это бумажные анкеты с информацией о работниках предприятия), необходимо принять меры для их перевода в цифровой формат.
- Контроля Роскомнадзора, следящего, чтобы текущая обработка личной информации работников велась в соответствии с законодательными нормами. Также это ведомство проверяет, чтобы хранение ПДн, обрабатываемых в рамках трудовых обязанностей происходило в условиях, когда исключена утечка персональных данных и их незаконное использование.
Защита персональных данных
Законом предусмотрено, что до начала обработки персональных данных, оператор обязан уведомить компетентный орган (Роскомнадзор) своем намерении осуществлять обработку персональных данных.
К исключениям относятся:
- только ФИО субъектов;
- трудовые отношения;
- договорные отношения;
- общедоступные персональные данные;
- однократные пропуска на территорию;
- когда данные обрабатываются без использования средств автоматизации (ЭВМ, компьютеры);
- транспортная безопасность.
Прим. Роскомнадзор разъяснил, что под автоматизацией понимается непосредственное отсутствия деятельности человека. В случае если данные клиента просто забиты в компьютерную программу и сами по себе не рассылаются/уничтожаются/обрабатываются/обновляются и т.д., это нельзя считать автоматизацией.
Вместе с тем, при возникновении спорных вопросов относительно способа обработки данных, лучше этот момент уточнять непосредственно в Роскомнадзоре.
Уведомление о начале обработке персональных данных должно быть оформлено в соответствии с методическими рекомендациями по уведомлению уполномоченного органа о начале обработки персональных данных и о внесении изменений в ранее представленные сведения (утв. Приказом Роскомнадзора от 30.05.2017 N 94).
Если обработка данных будет осуществляться без уведомления Роскомнадзора, или в уведомлении будут содержаться недостоверные сведения, то организация будет привлечена к административной ответственности.
Важно помнить о том, что в случае, когда договорные отношения у компании с клиентом прекратились, а уведомления об обработки персональных данных не было подано в Роскомнадзор, и клиент не давал своего согласия на обработку, то его данные необходимо уничтожать, а не хранить. В противном случае организация уже не попадает под исключение и может быть оштрафована.
Далее оператору необходимо разработать необходимую документацию по обработке персональных данных. Перечень может разниться от размера организации, специфики её деятельности и т.д., но примерный перечень следующий:
- Положение о персональных данных;
- Приказ об утверждении положения;
- Приказ о назначении ответственного лица;
- Политика в отношении обработки и безопасности персональных данных;
- Пользовательское соглашение в приложении и на сайте;
- Инструкция ответственного за организацию обработки персональных данных;
- Приказ о выделении помещений для обработки персональных данных + правила доступа;
- Журнал учета машинных носителей информации с персональными данными.
Также если в организации есть Интернет-сайт, то он тоже должен соответствовать определенным требованиям: содержать в себе Политику конфиденциальности и Пользовательское соглашение, в которыми пользователь согласится, заполнив форму обратной связи или при осуществлении заказа.
Если же сервис компании ориентирован на международный рынок, но необходимо учитывать дополнительные требования международных правовых актов, и в частности, закон той организации, для населения которой осуществляется деятельность компании.