Что относится к персональным данным работника и как с ними работать

Что такое персональные данные работника по закону

Персональные данные работника — это информация, которая прямо или косвенно относится к определенному работнику или с помощью которой такого сотрудника можно определить (ч. 1 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»). Единого перечня персональных данных работника нет. Однако его все же можно вывести из нормативных документов и разъяснений чиновников.

Что относится к персональным данным работника: таблица

В каких кадровых документах содержатся персональные данные работников

Персональные данные работника содержатся в основном документе учёта работников — его личном деле. Поскольку именно в нём, как правило, работодатель хранит большинство документов, которые связаны с конкретным сотрудником. К документам, которые содержат персональные данные работника, ТК РФ относит:

• анкету, которую соискатель заполняет при приеме на работу;
• паспорт сотрудника;
• трудовую книжку или сведения о трудовом стаже;
• трудовой договор;
• личную карточку;
• СНИЛС или АДИ-РЕГ;
• свидетельства о заключении и расторжении брака, рождении детей;
• документы воинского учета;
• справку о доходах и суммах налога физлица с предыдущего места работы и т. д.

Памятка для кадровика: какие документы в личном деле можно и какие нельзя хранить

Скачать памятку

Читайте в журнале «Кадровое дело»: Алгоритм действий, чтобы вовремя получать от работника информацию о смене личных данных

Как работать с персональными данными работников по ТК РФ

Какие персональные данные нельзя собирать с работников

Использование персональных данных работника не всегда законно. Не запрашивайте у сотрудников данные, которые относятся к категории специальных (ст. 10 Федерального закона от 27.07.2006 № 152-ФЗ). К ним относится любая информация о расовой и национальной принадлежности, политических взглядах, философских и религиозных убеждениях человека, а также его интимной жизни и состоянии здоровья. Во-первых, к профессиональной деятельности работника такие сведения, как правило, не имеют никакого отношения. Если работодатель проявляет к ним интерес при приеме на работу, это может свидетельствовать о его предвзятости и склонности к дискриминации. Во-вторых, закон позволяет обрабатывать спецданные только с разрешения работника или в особых случаях — например, для защиты жизни, здоровья или жизненно важных интересов человека.

Кроме того, не собирайте персональные данные работника, которые не относятся к целям обработки. Получать личные данные сотрудников можно только в целях:

1. Выполнения требований закона. Например, чтобы сдать отчётность в СФР.
2. Содействия в трудоустройстве, получении образования или продвижения по службе. Например, вам понадобятся данные для направления работника на курсы повышения квалификации.
3. Обеспечения безопасности, контроля качества и количество выполненной работы. Например, данные работника понадобятся, чтобы оформить пропуск в офис.
4. Обеспечения сохранности имущества. Так, работодатели ведут видеофиксацию трудовой деятельности сотрудников, которые обслуживают материальные ценности компании.

Читайте в журнале «Кадровое дело»: Как наладить работу с персональными данными с нуля и даже собрать согласия с родственников работников: опыт Анны Кирсановой

Как получать персональные данные сотрудников

Получайте персональные данные работника только у него самого. Закон позволяет получать личные данные сотрудников у третих лиц в качестве исключения из правил. Для этого работодатель должен уведомить работника о том, что он запросит эти сведения и получить от него письменное согласие. Сделать это нужно до момента, как начнете их обрабатывать. Такие правила установили в пункте 3 части 1 статьи 86 ТК, части 3 статьи 18 Федерального закона от 27.07.2006 № 152-ФЗ.

Скачайте образцы документов в Системе Кадры:

Читайте в Системе Кадры: Как получить персональные данные сотрудника у третьих лиц

Кому и как можно передавать персональные данные работников

Важно. Перед передачей персональных данных сотрудника третьим лицам или их публикацией в интернете необходимо получить его согласие. Каждый раз, когда возникает необходимость передать такие данные, требуется оформить новое согласие (ст. 10.1 Федерального закона от 27.07.2006 № 152-ФЗ).

Если персональные данные сотрудника становятся доступными неограниченному числу людей, это считается их распространением. Например, когда информация о сотрудниках размещается на корпоративном сайте или в других открытых источниках. В случаях, когда персональные данные передаются широкой аудитории, необходимо оформить письменное согласие работника на их распространение — обычного согласия на обработку данных в таком случае недостаточно (ст. 88 ТК, ст. 10.1 Федерального закона от 27.07.2006 № 152-ФЗ, приказ Роскомнадзора от 24.02.2021 № 18).

При передаче персональной информации третьим сторонам также требуется получить соответствующее разрешение от сотрудника. Например, если передача данных необходима для оформления банковской карты, на которую будет начисляться заработная плата. Согласие на распространение персональных данных нужно оформить с учетом требований к его содержанию, утв. приказом Роскомнадзора от 24.02.2021 № 18.

Согласие на распространение персональных данных: образец

Скачайте образец полностью

Как получить согласие сотрудника на распространение персональных данных

Эксперты Системы Кадры подготовили инструкцию, которая поможет вам без ошибок получить у работника согласие на распространение его персданных. В материале подсказки, как составить согласие, видеоинструкция и сервис, чтобы заполнить документ и не упустить важную информацию, за отсутствие которой потом может оштрафовать Роскомнадзор.

Как получить согласие на распространение персданных

Где хранятся персональные данные работников

Способы хранения персональных данных зависят от их формата. Для бумажных и электронных документов действуют разные требования. Организация может закрепить порядок хранения и меры защиты данных в отдельном локальном нормативном акте, например, в Положении о хранении и защите персональных данных сотрудников, либо включить соответствующий раздел в общее Положение о защите персональных данных.

Определить срок хранения документов по персональным данным, может сервис от Системы Кадры

Чтобы узнать, сколько хранить документы с персональными данными, напишите в поисковую строку сервиса название документа. Он покажет срок хранения и подпункт печерня из приказа Росархива.



Перейти в сервис >>>

Хранение бумажных документов. Физические носители с персональными данными следует размещать в сейфах, металлических шкафах или специально оборудованных помещениях. Документы воинского учета подлежат хранению исключительно в металлических шкафах (п. 21 Методических рекомендаций Минобороны от 11.07.2017).

Персональные данные, используемые в разных целях, необходимо хранить раздельно. Например, документы, собираемые для обеспечения безопасности сотрудников, должны быть отделены от тех, которые используются для заключения трудового договора или предоставления сведений в госорганы, такие как СФР (п. 14 постановления Правительства от 15.09.2008 № 687).

Важно также ограничить доступ к помещениям, где хранятся персональные данные. Для этого нужно определить круг работников, которым разрешено работать с такими документами, и оформить соответствующий приказ или внести перечень уполномоченных сотрудников в локальный акт, например, в Положение о защите персональных данных. Каждый из допущенных работников обязан подписать обязательство о неразглашении персональных данных (п. 7 ст. 86 ТК РФ, п. 13 постановления Правительства от 15.09.2008 № 687).

Хранение электронных данных. Электронные документы необходимо защищать от несанкционированного доступа. Для этого стоит проконсультироваться с ИТ-специалистами, которые помогут настроить надежную систему хранения с учетом специфики организации. Основные требования к защите данных в информационных системах установлены постановлением Правительства от 01.11.2012 № 1119.

Доступ к базе данных должны иметь только те сотрудники, которым разрешено работать с персональными данными. Для каждого пользователя нужно создать уникальный логин и пароль, а система должна автоматически фиксировать информацию о лицах, совершивших обработку данных. Рекомендуется регулярно создавать резервные копии базы и хранить их на защищенных внешних носителях, таких как флэш-накопители или внешние жесткие диски, чтобы избежать потери данных.

Скачайте образцы документов от Системы Кадры, чтобы организовать хранение персданных:

Читайте в журнале «Кадровое дело»: Как выполнять кадровые задачи, в которых важна защита личных данных сотрудника

Обработка и защита персональных данных работников: основные нюансы

Как правильно обрабатывать персональные данные сотрудников

Под обработкой понимают любое действие с персональными данными. Например, сбор, хранение, уточнение, использование персональных данных работника (п. 3 ч. 1 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ). Сведения личного характера, касающиеся конкретного человека, обрабатываются и распространяются только с его согласия. Исключение составляют ситуации, когда обработка ПД необходима для достижения целей, предусмотренных федеральными законами, международными договорами, решением прокуратуры или суда. Полный перечень оснований, позволяющих не запрашивать согласие на обработку личной информации, закреплен статьей 6 Федерального закона от 27.07.2006 №152-ФЗ.

Получите согласие на обработку лично у работника. В нем укажите личные данные сотрудника, цель обработки персданных и их перечень, а также срок, в течение которого действует согласие сотрудника. Согласие можете оформить как в бумажном, так и в электронном виде.

Важно. Чтобы обрабатывать биометрические данные работников, проверьте, что включили их перечень в текст согласия. Если нет, оформите отдельный документ, чтобы хранить фото и видеозаписи с сотрудником. Если сотрудник откажется его подписывать, запрашивать фото и снимать видео не сможете, даже если это нужно для пропуска на территорию работодателя.

Скачайте образцы согласий:

Правила защиты персональных данных сотрудников

Для обеспечения защиты персональных данных необходимо зафиксировать меры, направленные на предотвращение, выявление и устранение нарушений законодательства о персональных данных. Эти меры рекомендуется прописать в локальном нормативном акте работодателя, например, в Положении о защите персональных данных (п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ).

Положение о защите персональных данных: образец

Скачать образец

Меры по обеспечению безопасности персональных данных. Перечень обязательных мер защиты персональных данных при их обработке установлен частью 2 статьи 19 Федерального закона от 27.07.2006 № 152-ФЗ, а также нормативными требованиями, утвержденными постановлением Правительства от 01.11.2012 № 1119. На основании этих норм организация может разработать собственную систему защиты данных.

Выбор конкретных мер безопасности зависит от способа обработки персональных данных, который может быть:

1. Автоматизированным — с использованием специализированных программных продуктов (например, 1С, Контур) и баз данных на корпоративных серверах или веб-ресурсах.
2. Неавтоматизированным — когда данные обрабатываются вручную, например, в бумажных документах и архивных материалах.

Автоматизированная обработка данных. При работе с персональными данными в электронных системах важно оценить потенциальные угрозы безопасности. В нормативных требованиях (п. 6, 7 постановления Правительства от 01.11.2012 № 1119) выделяются три типа угроз, которые могут привести к несанкционированному доступу к данным.

После определения уровня угроз устанавливается соответствующий уровень защиты. В зависимости от категории персональных данных и количества сотрудников, сведения о которых обрабатываются, необходимо применять меры защиты, указанные в пунктах 13–16 требований, утвержденных постановлением Правительства от 01.11.2012 № 1119. Среди них:

• обеспечение безопасности помещений, где хранятся персональные данные;
• назначение ответственных лиц, контролирующих защиту данных в информационной системе;
• соблюдение требований приказа ФСТЭК от 18.02.2013 № 21.

Неавтоматизированная обработка данных. Персональные данные, хранящиеся в бумажном виде, также требуют защиты. Для этого необходимо определить места их хранения (сейфы, архивные помещения, отдельные кабинеты) и оформить соответствующий приказ. Также следует установить перечень сотрудников, имеющих доступ к этим документам.

Чтобы определить тип угрозы и уровень защищенности персданных в вашей организации, используйте сервис от Системы Кадры. Ответьте на вопросы и узнаете, какой в вашей организации тип угрозы и уровень защищенности персданных.

Протестировать сервис

Оценка возможного вреда при нарушении защиты данных. Согласно требованиям Роскомнадзора (п. 5 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ, приказ Роскомнадзора от 27.10.2022 № 178), работодатели обязаны проводить оценку потенциального вреда, который может быть причинен при нарушении законодательства о персональных данных. Уровень возможного вреда подразделяется на три категории:

• высокий;
• средний;
• низкий.

Результаты оценки фиксируются в акте, который может быть оформлен как в бумажном, так и в электронном виде. Документ составляется ответственным за обработку персональных данных или специальной комиссией. В акте должны быть указаны:

• наименование и адрес работодателя;
• дата составления акта;
• дата проведения оценки степени вреда;
• Ф. И. О. и должность лица, проводившего оценку (либо членов комиссии);
• установленный уровень возможного вреда при нарушении защиты персональных данных.

После составления акт должен быть подписан ответственным лицом или членами комиссии.

Акт оценки вреда персональных данных: образец

Скачать полностью >>>

Читайте в журнале «Кадровое дело»: Утечки данных сотрудников. Три сценария, когда в провале обвинят кадровика

Ближайшие бесплатные вебинары для кадровиков

Женское лидерство: раскрытие потенциала и укрепление HR-бренда. Кейс ассоциации «Женщины в современной индустрии»
10 апреля,четверг. Спикер: Жалилова Камилла, директор и член Правления ассоциации «Женщины в современной индустрии»

Командировки в 2025 году. Как оформлять поездки без риска штрафов и споров с сотрудниками
25 февраля, вторник. Спикер: Карсетская Елена, Эксперт по трудовому праву, автор книг и статей по применению трудового законодательства