Глава 14. Защита персональных данных работника. Новое в законодательстве (краткий комментарий ст. Ст. 85 - 90)

В соответствии со ст. 85 ТК РФ под персональными данными работника понимается информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного работника. В соответствии со ст. 3 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных" (далее - ФЗ "О персональных данных") персональные данные - это любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.

Все запреты в области защиты персональных данных установлены трудовым законодательством для работодателя и его должностных лиц. Для граждан безотносительно к их должностным обязанностям запретов в области передачи персональных данных не установлено. Например, передача персональных данных вкладчиком при предъявлении доверенности в Сбербанке России (для хранения) на лицо, данные которого передаются, не будет признана ни нарушением трудового законодательства (оба лица не состоят в трудовых отношениях со Сбербанком России), ни нарушением неприкосновенности частной жизни (преступление, предусмотренное ст. 137 УК РФ), так как лицо, которому выдается доверенность, выразило согласие на передачу его персональных данных, о чем свидетельствует и проставление образца подписи на доверенности, и предоставление доверителю паспорта для оформления доверенности у нотариуса.

Наиважнейшим запретом в области хранения, передачи и обработки персональных данных, установленным ст. 88 ТК РФ, является запрет работодателю сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных ТК РФ или иными федеральными законами.

Сразу возникает вопрос: а что к таким случаям можно отнести? Приведем примерный перечень обстоятельств, при которых не требуется согласия работника на передачу (сообщение третьим лицам) персональных данных.

1. Несчастный случай на производстве. Например, работодатель обязан сообщить о произошедшем групповом нечастном случае на производстве в государственную инспекцию труда, прокуратуру по месту происшествия несчастного случая, в орган исполнительной власти субъекта РФ и (или) орган местного самоуправления по месту государственной регистрации юридического лица или физического лица в качестве индивидуального предпринимателя; работодателю, направившему работника, с которым произошел несчастный случай; в исполнительный орган страховщика и прочие органы, указанные в ст. 228.1 ТК РФ. При этом форма извещения о групповом несчастном случае, утвержденная Постановлением Минтруда РФ от 24 октября 2002 г. N 73 "Об утверждении форм документов, необходимых для расследования и учета несчастных случаев на производстве, и Положения об особенностях расследования несчастных случаев на производстве в отдельных отраслях и организациях" предусматривает указание персональных данных работников, с которыми произошел несчастный случай на производстве.

2. Мотивированные запросы правоохранительных органов. Такое право предоставлено органам милиции ст. 11 Закона РФ от 18 апреля 1991 г. N 1026-1 "О милиции" (далее - Закон РФ "О милиции") для выполнения возложенных на нее обязанностей.

3. Проверка в рамках осуществляемого надзора государственной инспекцией труда. Полномочия государственных инспекторов труда по осуществлению государственного надзора и контроля за соблюдением работодателями трудового законодательства и иных нормативных правовых актов, содержащих нормы трудового права, определены ст. 356 ТК РФ.

4. Проверки осуществления ведения воинского учета в организациях, проводимые отделам воинских комиссариатов в соответствии с порядком, установленным Методическими рекомендациями по ведению воинского учета в организациях, утв. Генштабом Вооруженных Сил РФ.

5. Иные проверочные мероприятия, осуществляемые органами государственного контроля и надзора в рамках возложенных на них обязанностей и полномочий.

Таким образом, работодатель не вправе разглашать сведения о персональных данных работника третьим лицам при отсутствии на то письменного согласия работника (за исключением должностных лиц, обладающих властными полномочиями, предоставленными им законодательными актами РФ), в том числе состоящим с самим работником в родственных отношениях.

В соответствии с п. 4 ст. 9 ФЗ "О персональных данных" письменное согласие субъекта персональных данных (в рассматриваемом случае - работника организации) на обработку (включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных) своих данных должно содержать:

1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;

2) фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных;

3) цель обработки;

4) перечень данных, на обработку которых дается согласие субъекта персональных данных;

5) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки;

6) срок, в течение которого действует согласие, а также порядок его отзыва.

Порядок хранения и использования персональных данных работников устанавливается работодателем с учетом требований ТК РФ и иных федеральных законов (ст. 87 ТК РФ). Таким образом, "Положение о персональных данных" или "Порядок хранения и использования персональных данных работников" (наименования локальных актов могут варьироваться) является локальным актом, принимается в каждой организации отдельно, но только в соответствии с нормами ТК РФ и иных федеральных законов. Как правило, именно в этом документе предусматривается порядок хранения личных данных сотрудников (в основном это личные дела сотрудников, трудовые книжки, карточки Т-2 и пр. документы), форма письменного согласия работника на обработку персональных данных, а также форма расписки-обязательства лица, ответственного за хранение и обработку персональных данных, о неразглашении ставших известными ему сведений о персональных данных работников организации, и, кроме того, перечень должностных лиц, имеющих право доступа и обработки персональных данных сотрудников.

В соответствии с п. 15 Постановления Правительства РФ от 15 сентября 2008 г. N 687 "Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации" при хранении материальных носителей должны соблюдаться условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный к ним доступ. Так как трудовым законодательством не установлено каких-либо определенных жестких требований к месту хранения персональных данных работника, у каждой организации-работодателя образовываются свои требования, зачастую зависящие от штатного расписания организации, объема площади, занимаемой организацией и материальным обеспечением организации-работодателя. Так, например, на заводе с численностью работников 500 человек образован отдел кадров, состоящий из трех сотрудников. Отдел занимает отдельное помещение площадью 20 кв.м и имеет отдельный вход в соседнее помещение площадью 34 кв.м, используемое для хранения личных дел, трудовых книжек, документов воинского учета и прочих документов, содержащих персональные данные работников. Таким образом, на крупном предприятии имеется отдельное помещение, запирающееся на ключ, к которому имеет доступ строго определенное количество должностных лиц.

А на предприятии численностью 30 человек обязанность по ведению, хранению и выдаче трудовых книжек, ведению воинского учета возложена на секретаря. Секретарь имеет рабочее место в приемной генерального директора, а для хранения личных дел и иных документов, содержащих персональные данные, указанному ответственному лицу выделен сейф, ключ от которого вручен только секретарю.

Таким образом, и в первом, и во втором случае организациями-работодателями обеспечено должное хранение документов, содержащих персональные данные работников, но разными способами.

Приведем несколько примеров из обычных ситуаций, связанных с персональными данными.

Пример первый. В отдел кадров предприятия звонит абонент, представляющийся сотрудником службы безопасности банка "ТТТ" и просит сообщить ему, работает ли в настоящее время Иванова Т.А. в данной организации, составляет ли ее доход свыше 10000 рублей и не имеет ли работодатель к ней претензий, не привлекалась ли она к дисциплинарной ответственности. Данные сведения просит предоставить в устной форме в целях дальнейшего кредитования Ивановой Т.А., обратившейся в банк "ТТТ" за предоставлением ей кредита.

Исходя из анализа ст. 88 ТК РФ сотрудник отдела кадров не вправе сообщить сведения о работнике Ивановой Т.А. Даже в случае, если Иванова перед этим позвонила в отдел кадров сама и попросила предоставить информацию сотруднику службы безопасности банка "ТТТ", представитель работодателя не вправе сообщать данные сведения. Сотрудник отдела кадров может сообщить запрошенные сведения только в случае наличия у него письменного согласия работника, оформленного в соответствии с требованиями ФЗ "О персональных данных".

Пример второй. Сотрудник Галочкин Р.И. в анкете соискателя на должность в ОАО "ССС" указал, что по дату подачи резюме работает в ООО "ННН". Характеристика с места работы в ООО "ННН" Галочкиным Р.И. не предоставлялась. Будущий работодатель - ОАО "ССС", желая получить устную характеристику о соискателе, обратился в ООО "ННН". Ему было отказано в предоставлении персональных данных о работнике в связи с отсутствием письменного согласия Галочкина Р.И. на обработку и передачу своих персональных данных.

Пример третий. Водитель такси компании ООО "Лидер К" Сидоров Г.А. обратился в страховую организацию "ООО" для заключения договора добровольного страхования автотранспортного средства (КАСКО). В связи с тем что и собственником, и водителем автомобиля, подлежащего страхованию, является Сидоров Г.А., страховой компанией был сделан запрос по месту работы Сидорова Г.А. - ООО "Лидер К" о наличии или отсутствии аварий с участием водителя Сидорова Г.А., наличии или отсутствии дисциплинарных взысканий у Сидорова Г.А. в связи с допущенными им дисциплинарными проступками, в том числе связанными с нарушением правил эксплуатации транспортных средств. В связи с тем что Сидоров Г.А. заблаговременно оформил в ООО "Лидер К" письменное согласие на предоставление своих персональных данных, указанные в запросе сведения были предоставлены страховой организации.

Ответственность за нарушение

Статьей 90 ТК РФ установлено, что лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных работника, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном ТК РФ и иными федеральными законами, а также привлекаются к гражданско-правовой, административной и уголовной ответственности в порядке, установленном федеральными законами.

Административная ответственность за нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) установлена ст. 13.11 КоАП РФ. Данное нарушение со стороны должностных лиц работодателя влечет предупреждение или наложение административного штрафа от пятисот до одной тысячи рублей; на юридических лиц - от пяти тысяч до десяти тысяч рублей (справочно: то же деяние, совершенное гражданами, получившими доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей, карается штрафом в размере от трехсот до пятисот рублей).

Уголовная ответственность установлена ст. 137 УК РФ за незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации. За такое преступление предусмотрены различные санкции в зависимости от квалифицирующих признаков: от штрафа в размере до двухсот тысяч рублей до лишения свободы до четырех лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до пяти лет.

Следует отметить, что работодателям не удастся "обойти" требование законодательства о наличии локального акта о порядке хранения персональных данных. В соответствии с п. 8 ст. 86 ТК РФ работники и их представители должны быть ознакомлены под роспись с документами работодателя, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области. Отсутствие указанного локального акта может быть признано нарушением законодательства о труде и об охране труда. В таком случае работодатель может быть привлечен к ответственности по ст. 5.27 КоАП РФ. Если привлекается юридическое лицо - штраф может варьироваться от тридцати тысяч до пятидесяти тысяч рублей или административное приостановление деятельности на срок до девяноста суток.