Основное про защиту персональных данных для работодателя

Последствия утечек в нашей стране не такие катастрофические, как, например, в США. Согласно отчету IBM Security, там в результате утечек 57% респондентов вынуждены повышать цены, чтобы компенсировать убытки от этого происшествия. В России же последствия наступают в виде санкций. Так, руководитель и (или) иное лицо, разгласившее чужие ПД, может быть оштрафовано на сумму до 50 000 руб. или же подвергнуто дисквалификации сроком до трех нет. Штрафы для организаций тоже немаленькие: до 100 000 руб. для малых предприятий, в т.ч. микропредприятий, и до 200 000 руб. для иных юридических лиц (ч. 2 ст. 4.1.2, ст. 13.14 КоАП).

О каких данных идет речь

ПД работника – это любая информация о человеке (не только работнике, но и кандидате), полученная работодателем. Это, в частности:

Данные дактилоскопии (пальцевые отпечатки), цвет радужной оболочки глаз, голос, анализы ДНК, фото, аудио- и видеозаписи – это биометрические ПД. На это указывал, в частности, Роскомнадзор (см. письмо от 10.02.2020 № 08АП-6782).

Почему работодателю нужно знать правила о ПД

ПД – это не нечто оторванное от жизни и существующее в футуристических фильмах.

Представим себе, что частный элитный детский сад принимает на работу воспитателя Алену, она представляет целый набор ПД:

И вот представим, что в родительском чате родительница утверждает, что в сад нанимают без медицинских осмотров, а администратор чата в качестве доказательства обратного выкладывает фото результатов Алениных свежих анализов. Хорошо, если сотрудница неконфликтная и не станет поднимать шум, но факт тот, что допущено нарушение законодательства о ПД (ст. 13.11 КоАП). Может последовать штраф: для ИП или должностного лица – от 10 000 до 20 000 руб., для юрлица – от 60 000 до 100 000 руб.

Так что любой работодатель – это оператор ПД, т.е. лицо, которое самостоятельно или совместно с другими лицами организует и (или):

Таким образом, ИП и организация – это операторы ПД по отношению к своим сотрудникам и иным физлицам, чьи ПД получает.

Что должен делать работодатель для защиты ПД

Закон не содержит списка мер, которые надо принимать для защиты ПД работников, но и не ограничивает их. Как правило, предпринимают следующие шаги:

Если ПД работника изменяются, то на основании подтверждающих документов и (или) его заявления необходимо вносить новые данные в личную карточку и иные кадровые документы. Трудовой договор можно не изменять, достаточно оформить дополнительное соглашение.

В трудовую книжку изменения вносятся при изменении таких ПД, как образование, Ф.И.О., дата рождения, сведения об образовании, профессии и т.п. (пп. 7, 8 порядка, утв. приказом Минтруда от 19.05.2021 № 320н).

Без согласия работника его ПД допускается передавать третьим лицам лишь в строго определенных законом случаях (см. ниже), в иных ситуациях надо получать письменное согласие (ст. 88 ТК).

Какие документы по ПД должны быть у работодателя

Поговорим о том комплекте документов, который должен быть у любого работодателя, чтобы избежать обвинений в необеспечении защиты ПД работников.

Приказ о назначении ответственного лица

Назначьте того, кто будет отвечать за организацию обработки ПД (п. 1 ч. 1 ст. 18.1, ч. 1 ст. 22.1 Закона о ПД). Им можно назначить любого сотрудника, который способен выполнять как минимум следующие операции (ч. 4 ст. 22.1 Закона о ПД):

Внимание: это не исчерпывающий перечень того, что должен делать ответственный. В должностные инструкции лиц, ответственных за организацию обработки ПД, включают, в частности, обязанности:

Назначьте приказом перечень лиц, отвечающих за обработку ПД работников, определив в нем сферы деятельности, в том числе указав, за обработку каких ПД отвечает каждый. У всех таких лиц следует получить письменное обязательство о неразглашении ПД.

ВС подчеркивал, что ставить вопрос об ответственности работника, который разгласил ПД коллеги, можно, если:

Положение об обработке и защите ПД

ЛНА, регулирующий порядок обработки и защиты ПД, как правило, издается в форме положения и устанавливает, в частности:

В какие категории можно объединить субъектов ПД? Например:

1. соискатели, претендующие на должность (работу);
2. действующие сотрудники;
3. бывшие сотрудники.

В качестве целей обработки ПД указывают применение, исполнение трудового законодательства в рамках трудовых отношений и иных, непосредственно связанных с ними, например, при:

Также в положении устанавливаются:

• порядок и условия обработки ПД;
• способы обработки: неавтоматизированная, автоматизированная, смешанная;
• сроки обработки и хранения ПД;
• порядок блокирования и уничтожения ПД;
• способы защиты ПД;
• процедуры, устраняющие последствия утечек, и т.п.;
• ответственность за нарушение норм, регулирующих обработку ПД, и т.п.

Политика обработки ПД

Этот документ обязателен для всех работодателей – операторов ПД физических лиц: сотрудников, соискателей, клиентов и других субъектов. Проще всего при составлении такой политики руководствоваться рекомендациями от Роскомнадзора.

В любом случае разработанный и утвержденный документ необходимо разместить в открытом доступе, например, на корпоративном сайте, странице в соцсети, на информационном стенде в офисе и т.п. Главное, чтобы с ним могли ознакомиться работники, соискатели, иные заинтересованные лица.

Согласие на обработку персональных данных

В большинстве случаев у работников надо получать согласие на обработку их ПД, причем в письменной форме. Целесообразно разработать форму согласия на обработку ПД в зависимости от целей:

В таблице указаны ситуации, когда работодатель не обязан получать согласие на передачу ПД.

Таблица. Когда на передачу ПД не надо спрашивать разрешения

Согласно разъяснениям Роскомнадзора (абз. 10 п. 4 разъяснений), не требуется получать согласие работника на передачу ПД кредитной организации, обслуживающей платежные карты работника, при условии что в договоре о выпуске карт, колдоговоре, ЛНА работодателя предусмотрено это право. Или же работник выдал доверенность на представление своих интересов работодателю.

Помимо согласий, логично также утвердить и форму отзыва данного согласия на обработку ПД. И вообще, мы привели лишь примеры документов, которые абсолютно точно необходимы для грамотной работы с ПД сотрудников. Работодатели же утверждают те формы, которые им нужны на практике.

Как защитить ПД на бумажных носителях

Закон ничего не говорит о том, как именно это сделать, только предписывает принимать все необходимые меры (п. 7 ст. 86 ТК, ч. 1 ст. 19 Закона о ПД).

Следует руководствоваться довольно лаконичным положением об особенностях обработки ПД, осуществляемой без использования средств автоматизации (утв. постановлением Правительства от 15.09.2008 № 687), которое предписывает:

Что на практике можно сделать:

Как защитить ПД в цифровом виде

Основное требование такое же: принимать все необходимые меры для защиты ПД (п. 7 ст. 86 ТК, ч. 1 ст. 19 Закона о ПД). Однако есть масса уточнений, которые содержат специфические документы – приказы:

Положения этих приказов неспециалисту понять непросто, не говоря уже о том, чтобы реализовывать их на практике. Разумнее привлечь профессионального исполнителя с лицензией на деятельность по технической защите конфиденциальной информации.

Чтобы определиться с комплексом мер, необходимых для защиты ПД, необходимо сначала:

Минимальный уровень защиты ПД – четвертый. Он предполагает принятие следующих мер (п. 13 требований):

Произошла утечка: что делать

Неприятное допущение, но предположим, что у работодателя произошла утечка данных сотрудников: например, вирус похитил базу. Не позднее 24 часов после того, как проблема будет обнаружена, следует направить сообщение в Роскомнадзор в порядке, установленном п. 1 ч. 3.1 ст. 21 Закона о ПД. Конкретный алгоритм установлен приказом Роскомнадзора от 14.11.2022 № 187.

Так, потребуется сообщить:

В течение 72 часов потребуется отправить Роскомнадзору второе сообщение, с результатами внутреннего расследования, в котором должны быть отражены:

Если Роскомнадзор пришлет требование, то ответить на него нужно за один рабочий день. Если ведомство сочтет представленные сведения неполными и (или) некорректными, то могут быть затребованы недостающие сведения и (или) пояснения, которые надо направить не позднее трех рабочих дней с даты получения запроса.

В заключение напомним, что нарушение законодательства в области ПД может привести работодателя, в частности, к административной ответственности (по ст. 13.11, 13.11.3 КоАП). Например, за обработку ПД без письменного согласия работника (если оно необходимо), исключая случаи, предусмотренные ст. 17.13 КоАП (и если это еще не преступление), штраф составит (ч. 2 ст. 13.11 КоАП):

Штрафы при повторном нарушении еще более суровы (ч. 2.1 ст. 13.11 КоАП):

Это только один пример, на самом деле составов правонарушений гораздо больше. Кроме того, работодатель, нарушив законодательство в области ПД и причинив материальный ущерб и (или) моральный вред работникам, должен будет возместить их (ст. 90, 232, 233, 235, 237 ТК).