Защита персональных данных

Персональные данные работника относятся к категории документированной информации, т. е. к информации, зафиксированной на материальном носителе с реквизитами, позволяющими ее идентифицировать. Кроме того, персональные данные работника представляют собой сведения, носящие конфиденциальный характер. Круг сведений и вид информации, которые составляют персональные данные работника, должны быть закреплены в локальном акте организации. К числу сведений, составляющих информацию о работнике, относятся: 1) сведения, представляемые работником при приеме на работу, предусмотренные в ст. 65 ТК РФ (сведения, содержащиеся в паспорте или ином документе, удостоверяющем личность работника; сведения, имеющиеся в трудовой книжке; сведения об образовании, квалификации; сведения, содержащиеся в документах медицинского освидетельствования работника, и др.); 2) сведения, создаваемые и получаемые работодателем в период трудовой деятельности работника (сведения, содержащиеся в личном деле работника, в приказах, распоряжениях, характеристиках, аттестационных материалах, и др.); 3) сведения о работнике, хранящиеся у работодателя после прекращения с ним трудовых отношений (все персональные данные работника, имеющиеся в архиве организации). Персональные данные работников могут быть двух видов: — данные, представляющие собой факты, которые не подлежат субъективной оценке, например специальность работника, приобретенная им в результате окончания какого-либо учебного заведения; — данные оценочного характера, которые могут, в частности, содержаться в характеристике, заключении аттестационной комиссии, и др. 2.Обработка персональных данных Под обработкой персональных данных работника понимается совокупность отношений, возникающих в процессе: формирования информационных ресурсов на основе получения, хранения, комбинирования, документирования информации о конкретном работнике в порядке, предусмотренном ст. 86 ТК РФ; использования отдельных документов, а также иной информации, составляющей персональные данные работника, хранящейся у работодателя.

Субъектами таких отношений выступают работник, его представитель, работодатель, должностные лица, осуществляющие обработку персональных данных работника, а также третьи лица, получающие (или представляющие) информацию о работнике.

Целями обработки персональных данных работника являются: — обеспечение соблюдения законов и иных нормативных правовых актов; — содействие работнику в трудоустройстве, обучении, продвижении по службе; — обеспечение его личной безопасности; — контроль за количеством и качеством выполняемой работы и обеспечение сохранности имущества.

Процедура обработки персональных данных работника не закреплена в законе.

Статья 86 ТК РФ содержит только перечень общих требований, предъявляемых к обработке таких данных в целях обеспечения прав и свобод человека и гражданина. Среди них следует выделить следующие: 1) обработка персональных данных работника может осуществляться исключительно в указанных выше целях; 2) при определении объема и содержания обрабатываемых персональных данных работника работодатель должен руководствоваться Конституцией РФ и иными федеральными законами; 3) все персональные данные работника следует получать у него самого.

Получение персональных данных у третьих лиц возможно только с письменного согласия работника; 4) работодатель не имеет права получать и обрабатывать персональные данные работника о его политических, религиозных и иных убеждениях и частной жизни. В случаях, непосредственно связанных с вопросами трудовых правоотношений, работодатель вправе получать и обрабатывать их с письменного согласия работника; 5) работодатель не имеет права получать и обрабатывать персональные данные работника о его членстве в общественных объединениях или участии в профсоюзной деятельности, за исключением случаев, предусмотренных федеральным законом; 6) при принятии решений, затрагивающих интересы работника, работодатель не имеет права основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного получения; 7) защита персональных данных работника от неправомерного использования или утраты должна быть обеспечена работодателем за счет его средств в порядке, установленном федеральным законом; 8) работники и их представители должны быть ознакомлены под расписку с документами организации, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области; 9) работники не должны отказываться от своих прав на сохранение и защиту тайны; 10) работодатели, работники и их представители должны совместно вырабатывать меры защиты персональных данных работников Сформулированные в ТК РФ общие требования, предъявляемые к обработке персональных данных работника, основаны на принципах законности, добровольности, обеспечения равенства возможностей работника без всякой дискриминации в сфере труда.

Требования к обработке персональных данных работников и формы их защиты должны быть закреплены в локальных нормативных правовых актах конкретной организации с учетом особенностей и видов ее деятельности, нормы которых не должны ухудшать положение работника в сравнении с ТК РФ и иными федеральными законами. 3. Локальный нормативный акт Локальный нормативный акт, регламентирующий процедуру обработки персональных данных работника, должен содержать: — круг вопросов, относящихся к персональным данным работников; — перечень сведений, составляющих государственную, коммерческую, служебную и иную тайну; — перечень сведений, носящих конфиденциальный характер; — круг лиц (перечень должностей), наделенных правом доступа к информации, составляющей персональные данные работников, государственную, коммерческую, служебную и иную тайну; — права и обязанности должностных лиц, осуществляющих обработку персональных данных работников; — права работников на ознакомление со своими персональными данными, в том числе с участием своего представителя, на получение ими копий любой записи, содержащей их персональные данные, на полную информацию о своих персональных данных и обработке этих данных; — порядок получения (сбора) персональных данных работников; — порядок формирования информационных ресурсов; — порядок хранения, использования и передачи третьей стороне работодателем персональных данных работников; — порядок ознакомления работника, в том числе с участием своего представителя, со своими персональными данными; — порядок получения работником копий любой записи, содержащей его персональные данные, полной информации о своих персональных данных и обработке этих данных ответственность должностных лиц за нарушение правил обработки персональных данных работников. 4. Формирование информационных ресурсов Формирование информационных ресурсов осуществляется работодателем путем получения, хранения, комбинирования, документирования информации о конкретном работнике.

Документы по личному составу создаются в результате трудовых отношений. К ним относятся: приказы по личному составу, выписки из них, трудовые договоры, заявления, трудовые книжки, личные листки, резюме, характеристики, личные карточки, книга приказов, распоряжений, книга учета движения трудовых книжек и т. д. По общему правилу, все персональные данные работника следует получать только у него самого. В случае когда персональные данные можно получить только у третьей стороны, работник должен быть уведомлен об этом заранее и от него должно быть получено на это письменное согласие. При этом работодатель должен сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих уточнению персональных данных и последствиях отказа работника дать письменное согласие на их получение. К обязанностям лица, поступающего на работу, относится предъявление документов, предусмотренных ст. 65 ТК РФ, а также иными федеральными законами, указами Президента РФ и постановлениями Правительства РФ. Так, например, в соответствии со ст. 21 Федерального закона от 31 июля 1995 г. «Об основах государственной службы Российской Федерации»1 государственный служащий, например, представляет (помимо документов, предусмотренных ст. 65 ТК РФ) справку из органов государственной налоговой службы о представлении им сведений об имущественном положении.

Дополнительные требования предъявляются также при осуществлении приема на работу работников правоохранительных органов, судей, которые закреплены в нормах соответствующих федеральных законов. По смыслу ч. 2 ст. 331 ТК РФ, при приеме на работу, связанную с педагогической деятельностью, работодатель должен истребовать персональные сведения, свидетельствующие о том, что лицо, изъявившее желание заключить трудовой договор, может быть допущено к педагогической деятельности.

Аналогично обстоит дело с приемом на работу иных категорий работников, деятельность которых отличается от обычной трудовой деятельности в связи с теми или иными обстоятельствами.

Предъявление лицом, изъявившим желание заключить трудовой договор, установленных законодательством документов позволяет работодателю определить его деловые качества и решить вопрос о заключении с ним трудового договора.

Отсутствие у работника необходимых документов, подлежащих предъявлению им при приеме на работу, обязывает работодателя оказать ему содействие в истребовании отсутствующих документов или запросить необходимую информацию у третьих лиц с согласия работника.

Законодатель не регламентирует правовые последствия, связанные с отказом лица на получение работодателем у третьих лиц информации, необходимой для заключения трудового договора (или для допуска к работе работника). По нашему» мнению, следует полагать, что подобное поведение лица, имеющего намерение заключить трудовой договор, дает правовое основание для отказа в приеме его на работу. Это связано с тем, что отсутствие предусмотренных трудовым законодательством документов не позволяет работодателю сделать вывод о возможности заключить с ним трудовой договор без нарушения обязательных правил приема на работу, установленных ТК РФ или иными федеральными законами.

Отсутствие согласия лица на истребование необходимых документов (необходимой информации) у третьих лиц, представляется, следует расценивать как отсутствие деловых качеств претендента, позволяющих работодателю заключить с ним трудовой договор. О последствиях отказа в заключении трудового договора лицо, имеющее намерение вступить в трудовые отношения, должно быть извещено работодателем. Такое правило не распространяется на случаи, когда работодатель в нарушение ст. 65 ТК РФ требует от лица, поступающего на работу, документы, не предусмотренные действующим трудовым законодательством.

Пункты 4, 5 ст. 86 ТК РФ устанавливают гарантии равенства возможностей работников без всякой дискриминации на продвижение по работе независимо, например, от его политических, религиозных и иных убеждений, а также независимо от членства в профсоюзе. Этим обусловлено наложение запрета на получение и обработку персональных данных работника о его политических, религиозных и иных убеждениях и частной жизни, а также о его членстве в общественных объединениях или его профсоюзной деятельности.

Исключения из этого правила могут устанавливаться федеральными законами, например для государственных служащих, работников правоохранительных органов, судей и др. Так, например, в соответствии со ст. 3 Закона РФ от 26 июня 1992 г. «О статусе судей в Российской Федерации»1 судья не вправе принадлежать к политическим партиям и движениям.

Получение или проверка информации в этом случае обусловлены требованиями, предусмотренными для данной категории работников. По общему правилу, запрещается запрашивать информацию о состоянии здоровья работника.

Исключение из этого правила составляют сведения, необходимые работодателю для решения вопроса о возможности допустить того или иного работника к выполнению определенной работы.

Следует отметить, что в соответствии с требованиями ст. 31, 61 Основ законодательства РФ об охране здоровья граждан от 22 июля 1993 г. персональные данные работника, содержащиеся в медицинских документах, составляют врачебную тайну и могут предоставляться без его согласия только в отдельных случаях и порядке, определяемых указанными выше нормами. Лица, которым при обучении, исполнении профессиональных, служебных и иных обязанностей стали известны сведения, составляющие врачебную тайну, несут юридическую ответственность за ее разглашение.

Работодатель при принятии решений, затрагивающих интересы работника, не имеет права основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного получения информации, представляющей собой персональные данные работника. В соответствии с п. 2 ст. 4 Федерального закона от 20 февраля 1995 г. «Об информации, информатизации и защите информации» правовой режим информационных ресурсов определяется нормами, устанавливающими: — порядок документирования информации; — право собственности на отдельные документы и отдельные массивы документов, документы и массивы документов в информационных системах; — категорию информации по уровню доступа к ней; — порядок правовой защиты информации. 5. Документирование информации Работодатель обязан вести особую группу документов в делопроизводстве, которые представляют собой документацию по личному составу (они также известны под названием «кадровая документация»). Документирование информации в силу п. 1 ст. 5 Федерального закона «Об информации, информатизации и защите информации» является обязательным условием включения информации в информационные ресурсы.

Документирование информации осуществляется в порядке, устанавливаемом органами государственной власти, ответственными за организацию делопроизводства, стандартизацию документов и их массивов, безопасность Российской Федерации.

Порядок ведения трудовых книжек закреплен в Инструкции о порядке ведения трудовых книжек, утвержденной Госкомтрудом СССР и ВЦСПС 20 июня 1984 г., в редакции постановления Госкомтруда СССР от 2 августа 1985 г. с последующими изменениями и дополнениями.

Разработаны унифицированные системы документации, созданные по единым правилам (например, ГОСТ 6.10.1—88. Унифицированные системы документации.

Основные положения; ГОСТ 6.38—90. Унифицированные системы документации.

Система организационно-распорядительной документации.

Требования к оформлению документов; ГОСТ 16487—83. Делопроизводство и архивное дело.

Термины и определения; ГОСТ 6.30—97. Унифицированные системы документации.

Унифицированная система организационно-распорядительной документации.

Требования к оформлению документов). В зависимости от специфики работы федеральными законами, иными нормативными правовыми актами могут устанавливаться дополнительные требования к получению, обработке и хранению персональных данных работников. 6. Хранение информации Обязанностью работодателя является обеспечить надлежащее хранение информационных ресурсов, касающихся конкретных работников, необходимых работодателю в связи с трудовыми отношениями (персональных данных работника), в строгом соответствии с требованиями федеральных законов, иных нормативных правовых актов, регламентирующих защиту персональных данных работника от неправомерного использования или утраты. , Работодатель своими силами и за свой счет должен организовать хранение персональных данных работника таким образом, чтобы не только обеспечить их защиту от неправомерного использования или утраты, но и предоставить работнику возможность реализовать свое право на ознакомление со всей информацией о нем, имеющейся (хранящейся) у работодателя. Для этого работодатель, его представители обязаны создать необходимые условия, используя все организационно-технические средства. К ним относятся, например, предоставление необходимого помещения, иных технических средств (сейфа, металлического несгораемого шкафа); ограничение доступа лиц к персональным данным работника; установление определенных требований, предъявляемых к получению, обработке, хранению и использованию персональных данных; ознакомление с требованиями по обработке персональных данных лиц, осуществляющих их обработку, установление персональной юридической ответственности должностных лиц, непосредственно осуществляющих их обработку, за нарушение порядка получения, хранения, использования указанной информации и передачи ее третьим лицам.

Использование персональных данных работника осуществляется путем: — передачи их другим лицам с учетом требований, предъявляемых ст. 88 ТК РФ, или любым другим способом, не противоречащим требованиям действующего законодательства; — предоставления работнику свободного бесплатного доступа к своим персональным данным в соответствии со ст. 89 ТК РФ, получения им необходимых сведений от работодателя. 7. Передача персональных данных Передача персональных данных работника осуществляется: — в пределах одной организации; — третьей стороне.

Законодательством установлены достаточно жесткие требования, которые должны соблюдаться при передаче персональных данных как в пределах одной организации, так и при передаче их третьим лицам. В соответствии с требованием ст. 88 ТК РФ в пределах одной организации передача персональных данных работника осуществляется в соответствии с локальным нормативным актом организации, с которым работник должен быть ознакомлен под расписку. К требованиям, предъявляемым при передаче персональных данных работника в пределах одной организации, относится: 1) соблюдение положений локального акта, регламентирующих порядок обработки, хранения и использования персональных данных работника; 2) установление доступа к персональным данным работника только специальным уполномоченным лицам; 3) ограничение информации, составляющей персональные данные работника, при передаче этих сведений представителям работника. В соответствии с этими требованиями работодатель должен передавать только те персональные данные работника, которые необходимы для выполнения указанными представителями их функций. К требованиям, предъявляемым при передаче персональных данных работника третьим лицам, относятся: 1) наличие письменного согласия работника на передачу третьей стороне его персональных данных, в том числе в коммерческих целях.

Исключение составляют случаи, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также случаи, установленные федеральным законом; 2) предупреждение третьих лиц о целях использования персональных данных работника, сообщенных работодателем; 3) получение от третьих лиц подтверждения, что это правило соблюдено.

Нарушение установленных требований влечет за собой юридическую ответственность виновных лиц. 8. Права работников на обеспечение защиты персональных данных Наряду с закрепленными за работодателем обязанностями по обеспечению защиты персональных данных работника ст. 88 ТК РФ регламентирует права работников в этой области.

Условно права работника, направленные на обеспечение защиты его персональных данных, можно разделить на 3 группы: 1) на полную информацию о своих персональных данных и их обработке; 2) требовать устранения недостатков, имеющихся в персональных данных работника; 3) на защиту от неправомерных действий (бездействия) работодателя всеми установленными законом способами. Право на полную информацию о своих персональных данных и их обработке установлено также в Федеральном законе от 20 февраля 1995 г. «Об информации, информатизации и защите информации». Так, в соответствии с п. 1 ст. 14 указанного Закона работники имеют право на доступ к документированной информации о них, имеют право знать, кто, в каких целях использует или использовал эту информацию. В силу п. 2 ст. 14 Закона работодатель, как владелец документированной информации о работнике, обязан предоставить по его требованию бесплатно информацию в той части, которая касается непосредственно самого работника. Право отдельной категории работников на полную информацию, составляющую их персональные данные, устанавливается также федеральными законами, указами Президента РФ, постановлениями Правительства РФ. Так, в соответствии с п. 9 Указа Президента РФ от 15 мая 1997 г. «О предоставлении лицами, замещающими государственные должности Российской Федерации, и лицами, замещающими государственные должности государственной службы и должности в органах местного самоуправления, сведений о доходах и имуществе» право знакомиться со всеми материалами своего личного дела и давать в письменном виде объяснение по указанным материалам, которое должно быть приобщено к личному делу, принадлежит лицам, замещающим государственные должности РФ. Работник вправе приглашать по своему выбору медицинского специалиста при осуществлении своего права на полную информацию о своих персональных данных медицинского характера (ст. 89 ТК РФ). Законом не установлены формы привлечения медицинских специалистов к участию в ознакомлении с медицинскими данными, касающимися непосредственно самого работника.

Поэтому представляется, что участие специалиста может осуществляться на основе простой формы доверенности, выдаваемой ему работником. Кроме того, предусмотренное ст. 89 ТК РФ право работника на получение копий любой записи, в которой содержатся его персональные данные, позволяет ему обратиться за помощью к медицинским специалистам путем представления им копии медицинских данных, выданных работодателем. 9. Исправление персональных данных.

Ограничение доступа граждан к информации о них допустимо лишь на основаниях, предусмотренных федеральными законами. В случае если в персональных данных работника имеются неточности (например, ошибочные, неполные, измененные данные, сведения о работнике, не соответствующие действительности), работник имеет право потребовать исключить такие данные или исправить их, а также известить всех лиц, которым ранее были сообщены неверные или неполные персональные данные работника. При наличии оснований работодатель по требованию работника должен устранить имеющиеся в персональных данных работника недостатки и известить обо всех произведенных в них исключениях, исправлениях и дополнениях всех лиц, которым ранее были сообщены неверные или неполные персональные данные работника.

Работодатель вправе отказать в удовлетворении заявленных работником требований исправить, исключить неверные, по мнению работника, персональные данные или восстановить неполные о нем сведения, если установит, что требования работника не обоснованы.

Работник вправе известить работодателя в письменной форме о своем несогласии с отказом удовлетворить заявленные им требования. Такое извещение должно быть обоснованным, т. е. убедительным, подтвержденным фактами, серьезными аргументами. По-иному обстоит дело с так называемыми «оценочными» сведениями, составляющими персональные данные работника (например, сведения, содержащиеся в характеристике работника). Работник вправе изложить свою субъективную точку зрения относительно тех или иных сведений оценочного характера в соответствующем заявлении, адресованном работодателю.

Требовать исправления персональных данных оценочного характера работник не вправе.

Работнику гарантирована защита его субъективных прав от неправомерных действий или бездействия работодателя при обработке и защите персональных данных работника. К числу неправомерных бездействий работодателя можно отнести, например, неправомерный отказ владельца информационных ресурсов (работодателя) работнику в доступе к информации. Такой отказ в соответствии с п. 4 ст. 14 Федерального закона от 20 февраля 1995 г. № 24-ФЗ «Об информации, информатизации и защите информации» может быть обжалован в судебном порядке.

Защита субъективных прав работника, связанная с неправомерными действиями (бездействием) работодателя, должна осуществляться путем подачи соответствующей жалобы в суд на действия государственных органов, общественных организаций и должностных лиц, нарушающих права и свободы граждан.

Работник вправе определять своих представителей для защиты своих персональных данных любыми способами, в том числе и путем подачи жалобы в суд общей юрисдикции. 10. Ответственность за разглашение персональных данных Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных работника, несут юридическую ответственность (ст. 90 ТК РФ). Юридическая ответственность указанных лиц предусмотрена за виновное поведение, которое проявляется в их действиях или бездействии. Так, в соответствии с п. 3 ст. 24 Федерального закона от 20 февраля 1995 г. № 24-ФЗ «Об информации, информатизации и защите информации» ответственность за незаконное ограничение доступа к информации и нарушение режима защиты информации несут руководители и другие служащие органов государственной власти, организаций при наличии их вины в соответствии с уголовным, гражданским законодательством и законодательством об административных правонарушениях.

Дисциплинарная ответственность устанавливается в связи с совершением работником (в том числе руководителями, служащими, должностными лицами) дисциплинарного проступка, по правилам, установленным ТК РФ (а для отдельных категорий работников федеральными законами, уставами и положениями о дисциплине). В соответствии со ст. 14 Федерального закона от 31 июля 1995 г. «Об основах государственной службы в Российской Федерации»1 на государственного служащего возложена обязанность соблюдать установленный порядок работы со служебной информацией, хранить государственную и иную охраняемую законом тайну, а также не разглашать ставшие ему известными в связи с исполнением должностных обязанностей сведения, затрагивающие частную жизнь, честь и достоинство граждан. За неисполнение (ненадлежащее исполнение) государственным служащим возложенных на него обязанностей к нему могут применяться дисциплинарные взыскания, несколько отличные от видов дисциплинарных взысканий, установленных ст. 192 ТК РФ. К ним, в частности, относятся: замечание, выговор, строгий выговор, предупреждение о неполном служебном соответствии, увольнение.

Помимо этого, за разглашение конфиденциальных сведений, содержащихся в личных делах лиц, замещающих государственные должности РФ в порядке назначения и государственные должности федеральной государственной службы, а также за иные нарушения порядка ведения личных дел, установленного п. 7 Указом Президента РФ от 1 июня 1998 г. «О порядке ведения личных дел лиц, замещающих государственные должности Российской Федерации в порядке назначения и государственные должности федеральной государственной службы»1, виновные в этом федеральные государственные служащие, уполномоченные на ведение и хранение личных дел (формирование их копий) указанных выше лиц, могут привлекаться к дисциплинарной или иной ответственности.

Наряду с дисциплинарной ответственностью работники, виновные в разглашении сведений, составляющих служебную, коммерческую или иную тайну, могут привлекаться к материальной ответственности. Одним из оснований наступления полной материальной ответственности работника, предусмотренных федеральными законами, является разглашение им сведений, составляющих охраняемую законом служебную, коммерческую или иную тайну (ст. 90 ТК РФ). Гражданско-правовая ответственность в соответствии с требованием п. 2 ст. 139 ГК РФ2 установлена за причинение убытков в результате получения незаконными методами информации, составляющей служебную и коммерческую тайну.

Виновные в этом лица обязаны возместить причиненные убытки по правилам, определяемым гражданским законодательством.

Аналогичная ответственность предусмотрена в отношении работников, виновных в разглашении служебной или коммерческой тайны, если трудовым договором предусмотрена соответствующая обязанность о неразглашении определенных сведений, вопреки трудовому договору.

Административная ответственность за нарушение норм, регулирующих порядок получения, обработки и защиты персональных данных работника, установлена Кодексом Российской Федерации об административных правонарушениях, принятым Государственной Думой 20 декабря 2001 г., одобренным Советом Федерации 26 декабря 2001 г. В силу ст. 13.11 КоАП РФ за нарушение установленного законом порядка сбора, хранения и использования или распространения информации о гражданах (персональных данных) предусмотрена административная ответственность в виде предупреждения или наложения административного штрафа в размере от трех до пяти минимальных размеров оплаты труда в отношении граждан; — в отношении совершения аналогичных виновных действий должностными лицами размер административного штрафа составляет от пяти до десяти минимальных размеров оплаты труда; — юридические лица несут административную ответственность в размере от пятидесяти до ста минимальных размеров оплаты труда. В соответствии со ст. 13.14 КоАП РФ разглашение информации, доступ к которой ограничен федеральным законом (за исключением случаев, когда разглашение такой информации влечет уголовную ответственность), лицом, получившим доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей, влечет наложение административного штрафа на граждан в размере от пяти до десяти минимальных размеров оплаты труда; на должностных лиц — от сорока до пятидесяти минимальных размеров оплаты труда. Такая ответственность наступает за разглашение информации, доступ к которой ограничен только федеральным законом.

Поэтому за разглашение информации, доступ к которой ограничен иными нормативными правовыми актами, например локальными нормативными актами, административная ответственность, установленная требованием ст. 13.14 КоАП РФ, не может быть применена.