§ 2. Общие правила обработки персональных данных работника

Под обработкой персональных данных работника ТК понимает получение, хранение, комбинирование, передачу или любое другое использование персональных данных работника (ст. 85 ТК).

В работе с персональными данными работника можно выделить следующие направления:

195. получение персональных данных;

196. использование персональных данных работодателем;

197. хранение персональных данных;

198. передача персональных данных третьим лицам.

Универсальные правила, применяемые на всех стадиях работы с персональными данными работника, основываются на общих положениях о защите прав личности. Конституция РФ гарантирует каждому человеку право на неприкосновенность частной жизни, личную и семейную тайну (ст. 23 Конституции РФ). При этом сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются (ч. 1 ст. 24 Конституции РФ). К информации, защищаемой на конституционном уровне, относятся сведения о национальной принадлежности, политических, религиозных и иных убеждениях работника, его частной, в том числе и семейной жизни. В тоже время каждый имеет право свободно искать, получать, передавать, производить и распространять информацию любым законным способом (ч. 4 ст. 29 Конституции РФ). Каждое из указанных прав может быть ограничено исключительно федеральным законом и только в той мере, в какой это необходимо в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства.

Данные конституционные положения положены в основу законодательства о правилах обработки персональных данных работника. Центральное положение данного законодательства – ограничение возможностей работодателя по получению и использованию сведений о работнике и предоставление работнику особых прав в целях защиты персональных данных, хранящихся у работодателя.

Обработка персональных данных работника может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества. При определении объема и содержания обрабатываемых персональных данных работника работодатель должен руководствоваться Конституцией РФ, ТК и иными федеральными законами.

Свод основных прав работников в сфере защиты персональных данных, хранящихся у работодателя, содержится в ст. 89 ТК. К ним относятся права на:

• полную информацию об персональных данных работника и обработке этих данных;

• свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные работника, за исключением случаев, предусмотренных федеральным законом;

• определение своих представителей для защиты своих персональных данных;

• доступ к относящимся к ним медицинским данным с помощью медицинского специалиста по выбору работника;

• требование об исключении или исправлении неверных или неполных персональных данных, а также данных, обработанных с нарушением требований закона. При отказе работодателя исключить или исправить персональные данные работника он имеет право заявить в письменной форме работодателю о своем несогласии с соответствующим обоснованием такого несогласия. Персональные данные оценочного характера работник имеет право дополнить заявлением, выражающим его собственную точку зрения;

• требование об извещении работодателем всех лиц, которым ранее были сообщены неверные или неполные персональные данные работника, обо всех произведенных в них исключениях, исправлениях или дополнениях;

• обжалование в суд любых неправомерных действий или бездействия работодателя при обработке и защите его персональных данных.

Работники не должны отказываться от своих прав на сохранение и защиту тайны (п. 9 ст. 86 ТК). Следует также помнить, что право работника как человека и гражданина на неприкосновенность частной жизни, личную и семейную тайну в силу ч. 2 ст. 17 Конституции РФ принадлежит ему от рождения и неотчуждаемо. Соответственно отказ работника от своего права на сохранение и защиту тайны юридически ничтожен и порождает никаких правовых последствий.

Получение работодателем персональных данных работника

По общему правилу все персональные данные работника работодатель должен получать у самого работника. Однако из данного правила установлено исключение – в том случае, когда персональные данные работника могут быть получены исключительно у какого-либо третьего лица, то получение соответствующих сведений возможно не у работника, а у данного лица (государственного органа, предыдущего работодателя и т.п.). При этом работник должен быть уведомлен о предполагаемом получении его персональных данных у иного лица до обращения к соответствующему лицу с запросом о предоставлении персональных данных работника. В соответствующем уведомлении работодатель должен сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение. Работодатель обязан получить от работника письменное согласие на получение его персональных данных от третьего лица.

Если работник не дает работодателю своего согласия на получение персональных данных от третьего лица, соответствующий запрос работодателя третьему лицу не может быть направлен. Риск неблагоприятных последствий, которые могут наступить для работника ввиду отсутствия у работодателя необходимых ему сведений о работнике, лежит на самом работнике.

Основная информация о работнике получается работодателем при приеме на работу. Эта информация подтверждается документами, которые работник должен предъявить работодателю (см. ст. 65 ТК). В дальнейшем соответствующие персональные данные работника обновляются по мере изменений, которые происходят в жизни работника.

Использование работодателем персональных данных работника

Использование работодателем персональных данных работника осуществляется исключительно в целях обеспечения соблюдения требований законодательства, защиты трудовых прав работника и его личной безопасности, ведения контроля количества и качества выполняемой работы, обеспечения сохранности имущества. Принятие работодателем управленческих решений основывается на имеющейся в его распоряжении информации о работнике (его образовании, способности выполнять ту или иную работу по состоянию здоровья, предыдущей трудовой деятельности и т.п.).

Сама процедура использования персональных данных работника в организации устанавливается работодателем.

При принятии решений, затрагивающих интересы работника, работодатель не имеет права основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного получения.

Под автоматизированной обработкой персональных данных следует понимать операции, полностью или частично осуществляемые с применением автоматизированных средств.

Автоматизированные базы данных могут быть географически разрознены и собираться воедино через компьютерные сети. Базы данных, хранящиеся в электронном виде, в большей мере чем информация, содержащаяся на бумажном носителе, доступны для неправомерного внедрения и корректировки или для корректировки, осуществляемой в результате сбоя в компьютерной программе.

Порядок получения, хранения, передачи и любого иного использования персональных данных работника должен быть зафиксирован в специальном локальном нормативном акте (актах). Соответствующий порядок может устанавливаться как приказом (распоряжением) работодателя, так и в коллективном договоре в качестве одного из приложений к нему. С соответствующим актом, а также со своими правами в сфере защиты персональных данных работники должны быть ознакомлены под роспись.

Хранение персональных данных работника

Работодатель осуществляет хранение персональных данных работника, обеспечивая их защиту от неправомерного использования. Конкретные меры защиты персональных данных работника вырабатываются работодателем совместно с работниками и их представителями. Наиболее эффективными формами совместной выработки мер защиты персональных данных работника являются: рассмотрение этих мер в рамках проведения коллективных переговоров по заключению коллективного договора, проведение работодателем консультаций с представительным органом работников.

Персональные данные работника хранятся в документированной форме, характер которой определяется работодателем. Стандартизированный перечень документации по учету труда и его оплаты установлены постановлением Государственного комитета Российской Федерации по статистике от 5 января 2004 г. № 1 «Об утверждении унифицированных форм первичной учетной документации по учету труда и его оплаты». Унифицированные формы по учету кадров обязательны для применения во всех организациях независимо от форм собственности, а документы по учету использования рабочего времени и расчетов по оплате труда – в юридических лицах всех форм собственности за исключением бюджетных учреждений. Помимо унифицированных учетных документов работодатель вправе устанавливать и иные документы, фиксирующие информацию о работнике в связи с трудовыми отношениями.

Документы, содержащие информацию о конкретном работнике, соединяются в личном деле работника. Порядок его ведения и хранения устанавливается работодателем. Личное дело работника соединяет в себе все документы относительно трудовой деятельности работника в конкретной организации, от заключения трудового договора (копий документов, предъявляемых при приеме на работу) до приказа (распоряжения) работодателя о прекращении трудового договора. Документом, содержащим персональные данные работника о его трудовой деятельности и трудовом стаже, также является трудовая книжка.

Работу по хранению и использованию персональных данных работника осуществляют лица, состоящие с работодателем в трудовых отношениях (сотрудники кадровых, бухгалтерских и иных служб). Поэтому к числу мер по охране персональных данных относится и установление конкретных обязанностей этих работников по обеспечению конфиденциальности информации, относящейся к охраняемой законом тайне. Соответствующее условие должно быть включено в трудовой договор с работником, обрабатывающим персональные данные иных работников (ч. 3 ст. 57 ТК). На работодателя при этом возлагается обязанность создавать условия, обеспечивающие исполнение работником своих должностных обязанностей по защите охраняемой законом тайны (особый режим доступа в соответствующее помещение, специальное оборудование мест ее хранения и т.п.). Право доступа к персональным данным работников предоставлено также лицам, осуществляющим функции надзора и контроля за соблюдением работодателями законодательства о труде, а также лицам, контролирующим правильность исполнения работодателем своих обязанностей как налогового агента работника или страхователя в системе обязательного государственного страхования.

Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки, и они подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в их достижении (ст. 5 Федерального закона «О персональных данных»). Поскольку с наличием информации о трудовой деятельности работника у работодателя, с которым работник уже прекратил трудовые отношения, может быть связано обеспечение трудовых прав работника (работник может утратить трудовую книжку, в органах социального обеспечения могут быть утрачены данные об уплате страховых взносов), работодатель обязан хранить персональные данные работника и после прекращения трудовых отношений.

Сроки хранения персональных данных работников определяются на основании Перечня типовых управленческих документов, образующихся в деятельности организаций, с указанием сроков хранения, утвержденного руководителем федеральной архивной службы России 6 октября 2000 г⁶. В частности, личные дела руководителя организации, членов руководящих, исполнительных, контрольных органов организации, работников, имеющих государственные и иные звания, премии, награды, ученые степени и звания, хранятся постоянно, а иных работников – в течение 75 лет.

Передача персональных данных работника третьим лицам

По общему правилу персональные данные работника не могут быть переданы третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в случаях, установленных федеральным законом.

Правом на получение персональных данных работника в пределах необходимого для выполнения своих функций обладают:

90. Фонд социального страхования Российской Федерации;

91. Пенсионный фонд Российской Федерации;

92. налоговые органы;

93. Федеральная инспекция труда;

94. иные органы государственного надзора и контроля за соблюдением законодательства о труде;

95. органы исполнительной власти, профессиональные союзы, участвующие в расследовании несчастных случаев на производстве.

Юридическим основанием для передачи персональных данных работника третьим лицам может являться согласие работника на такую передачу только конкретному третьему лицу в конкретные сроки в целях защиты прав и интересов работника. Выдача согласия на передачу персональных данных работника неопределенному кругу третьих лиц или без ограничения сроков такой передачи не порождает правовых последствий и не может служить основанием для передачи персональных данных работника. Сообщение персональных данных работника третьим лицам в коммерческих целях может производиться только с письменного согласия работника.

Работодатель обязан предупредить лиц, получающих персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные работника, обязаны соблюдать режим секретности (конфиденциальности). Данное положение не распространяется на обмен персональными данными работников в порядке, установленном федеральными законами.

Передача персональных данных работника в пределах одной организации (например, передача информации о новом работнике или изменении персональных данных работника от кадровой службы в бухгалтерию организации) осуществляется в соответствии с локальным нормативным актом организации, с которым работник должен быть ознакомлен под роспись.

Доступ к персональным данным работников в процессе их обработки ограничивается кругом лиц, для которых обработка соответствующих данных является одной из должностных обязанностей (сотрудники кадровых, бухгалтерских и иных служб).

Передача персональных данных работника представителям работников осуществляется работодателем в соответствии с общими правилами. Круг информации о работнике, передаваемой представителям работников, определяется функциями данных представителей. Как правило, представители работников имеют право на получение тех персональных данных работников, которые необходимы для ведения коллективных переговоров. Указанные ограничения распространяются на случаи передачи персональных данных работника со стороны работодателя и не отрицают права работника на самостоятельную передачу представителям работников любой информации, относящейся к персональным данным работника.

Следует отметить, что в Российской Федерации еще не сложилась четкая практика применения законодательства о защите персональных данных работника.

Российское законодательство не одиноко в установлении правил защиты информации о работнике. Так, на европейском уровне еще в 1981 году была принята Конвенция Совета Европы о защите личности в связи с автоматической обработкой персональных данных⁷, выходящая за рамки взаимоотношений между работником и работодателем. Статья 1 данной конвенции четко формулирует цель защиты персональных данных: обеспечение уважения прав и основных свобод каждого человека независимо от его гражданства или места жительства и в особенности его права на неприкосновенность личной сферы. В статье 5 конвенции определяются требования, предъявляемые к персональным данным. В частности, они должны накапливаться для точно определенных и законных целей и не использоваться в противоречии с этими целями; должны быть адекватными, относящимися к делу и не быть избыточными применительно к целям, для которых они накапливаются; должны быть точными и в случае необходимости обновляться; должны храниться в такой форме, которая позволяет идентифицировать субъектов данных не дольше, чем этого требует цель, для которой эти данные накапливаются. Конвенция обязывает принимать надлежащие меры для охраны персональных данных от случайного или несанкционированного разрушения или случайной утраты, от несанкционированного доступа, изменения или распространения.

Статья 8 Конвенции предусматривает предоставление лицу, данные о котором собраны и сохраняются, следующих основных прав: быть осведомленным о существовании автоматизированной базы персональных данных, о ее главных целях, о контролере базы данных, его месте жительства либо юридическом адресе; обращаться с запросом о том, накапливаются ли касающиеся его персональные данные, получать информацию о таких данных в доступной форме; требовать уточнения или уничтожения таких данных, если они были обработаны с нарушением положений национального права; прибегнуть к судебной защите нарушенного права, если его запрос или требование о предоставлении информации, уточнении или уничтожении данных не были удовлетворены.

Как отмечает И. Я. Киселев: «в настоящее время почти во всех странах Запада приняты законы, регулирующие сбор и обработку личных данных о гражданах. Во Франции и Италии законы запрещают нанимателям собирать о нанимаемых работниках данные, которые не имеют отношения к их профессиональным качествам, квалификации и требованиям, которые могут быть к ним предъявлены на работе. Во многих странах ограничивается или запрещается сбор и обработка информации "деликатного" характера, которая может включать данные о расовой принадлежности, религиозных, политических и философских убеждениях; о национальном или социальном происхождении; о сексуальных привычках или наклонностях; о членстве в профсоюзах или других организациях; о состоянии здоровья; об употреблении алкоголя, наркотиков; об имущественном положении»⁸.