Работа с персональными данными сотрудников

Каждый работодатель получает от сотрудников значительный объем личной информации. В этот момент он становится оператором персональных данных (ПД) и обязан строго соблюдать принципы работы с такими сведениями.

Правила установлены ключевым законом 152-ФЗ. В случае их нарушений бизнесу и должностным лицам грозят не только крупные взыскания, но и уголовная ответственность.

Наши эксперты разработали рекомендации, как правильно собирать, хранить и передавать персональные данные работников, чтобы избежать утечек, конфликтов и штрафных санкций.

Подготовительный этап

1. Прежде всего, необходимо составить пакет локальных актов, которые регулируют порядок обработки персданных. Важно определить, какую информацию собирает предприятие и для каких целей.

2. Затем работодатель назначает ответственного за соблюдение правил и определяет группу лиц, имеющих доступ к ПД. Свое решение руководитель фиксирует в приказе.
Все специалисты, которые работают с ПД, должны подписать документ о неразглашении.

3. Далее следует настроить предусмотренные процессы и принять меры по обеспечению безопасности. В ходе работы они могут быть изменены и дополнены.

4. Завершающая стадия – это уведомление Роскомнадзора о намерении заниматься обработкой персональных данных. Теперь компания вправе начинать с ними какие-либо действия.

Что относится к персональным данным работника?

Это весь спектр сведений, которые напрямую или косвенно относятся к конкретному человеку и позволяют его идентифицировать.
В эту группу входят:

• ФИО, дата и место рождения;
• паспортные данные, ИНН и СНИЛС;
• адрес проживания, электронная почта, мобильный телефон;
• образование, профессия и стаж работы;
• семейное положение;
• фотография и видеозапись, которая позволяет установить личность.

Для чего необходимы персональные данные?

У сбора ПД должны быть заранее определенные и предусмотренные законом цели. Приведем их перечень.
1. Соблюдение нормативных требований. Например, оформление трудового договора и сдача «зарплатной» отчетности.

2. Помощь в получении образования и продвижении по служебной лестнице. Сведения потребуются для направления специалиста на обучающие курсы.

3. Контроль за выполняемой работой и обеспечение безопасности персонала. Здесь речь идет об оформлении пропусков и организации системы видеонаблюдения на территории фирмы.

4. Защита имущества предприятия. Внутри компании фиксируется работа сотрудников, у которых есть доступ к материальным ценностям.

Как получить личные сведения?

Информация содержится в пакете документов, который гражданин должен предъявить при трудоустройстве. Он включает в себя:

• паспорт или временное удостоверение личности;
• трудовую книжку или справки СТД-Р, СТД-СФР;
• страховое пенсионное свидетельство;
• диплом, аттестат, подтверждение специальных знаний;
• военный билет, справка, приписное свидетельство, если они необходимы.

После того как соискатель оформлен на работу, с его персональными данными можно ознакомиться в личной карточке, трудовом договоре, локальных справках и приказах.

Иногда организации требуется получить информацию о конкретном человеке от сторонних лиц.
Например, при трудоустройстве кадровик усомнился в подлинности диплома и решил направить запрос в образовательное учреждение, выдавшее документ. Он должен заранее сообщить об этом соискателю и получить письменное согласие.
Такая ситуация является скорее исключением из правил.

Важно, чтобы запрашиваемые сведения не были избыточными и систематизировались с четкой целью.
Запрещено собирать информацию о политических взглядах, членстве в профсоюзе или иных общественных организациях, требовать адрес страницы в соцсетях.

Оформление согласия на обработку персональных данных

Для работы с ПД штатного специалиста или исполнителя по договору ГПХ, необходимо получить согласие их владельца. Это документ, которым человек передает компании соответствующие полномочия. Он может быть в бумажном или цифровом формате. Во втором случае решение заверяется электронной подписью.

Законом установлены особые требования к содержанию документа. Так, в нем обязательно указывают:

• наименование фирмы;
• дата и место составления;
• ФИО работника, паспортные данные, прописку или регистрацию;
• перечень персональных данных;
• цель обработки. Она должна быть законной, обоснованной и максимально точно зафиксированной;
• действия компании с полученной информацией. Как правило, это хранение, накопление, систематизация и удаление;
• срок действия.

Предприятие может воспользоваться шаблоном Роскомнадзора или разработать свой вариант.

Обратите внимание! После оформления такого документа наниматель вправе обрабатывать сведения, но не передавать их.

В некоторых случаях организация может работать с персданными без согласия физического лица. Сюда относится:

• оформление трудового договора и заполнение личной карточки;
• ведение воинского учета.

Особенности передачи персональных данных

Прежде всего следует выяснить, потребуется согласие работника или нет. Его не берут в следующих случаях:

• сдача отчетности в ИФНС и СФР;
• направление материалов в военкомат;
• ответ на запросы прокуратуры или полиции;
• исполнение решений суда.

Во всех прочих ситуациях от человека необходимо получить письменное согласие с указанием цели передачи и объема информации. В качестве примера можно привести выпуск банковской карты в рамках зарплатного проекта.

Если информация о сотруднике находится в свободном доступе, например, на сайте компании или ее странице в соцсетях, это считается распространением ПД. В такой ситуации требуется оформить согласие на распространение.

Движение персданных может происходить внутри предприятия между подразделениями. Процедуру прописывают в локальном акте. Там же перечисляют отделы, имеющие доступ к информации. С нормативом специалист должен быть ознакомлен в момент трудоустройства.

Как хранить персональные данные?

Сведения могут находиться в бумажном или электронном виде. От их формата зависит способ хранения. Организация или ИП должны зафиксировать в локальных документах меры, которые обеспечат защиту информации и помогут предотвратить нарушения закона.
Опираясь на нормы 152-ФЗ, работодатель может разработать собственную систему безопасности.

Бумажные документы размещают в сейфах или металлических шкафах, которые находятся в специально оборудованных помещениях. Руководитель издает приказ, в котором определяют места хранения и утверждают перечень лиц, имеющих к ним доступ.

В случае с электронными документами действуют следующие правила:

• для работников с доступом оформляются учетные записи, пароли и ключи. Все их действия в системе фиксируются;
• пароли периодически меняются;
• база регулярно копируется на автономные носители.

Для контроля за безопасностью системы лучше всего привлечь специалистов.

Если компания обнаружила, что третьи лица незаконно получили ПД сотрудника, она должна сообщить об этом в Роскомнадзор.

Обратите внимание! Запрещено хранить копии документов, которые человек предоставлял при трудоустройстве.

Эксперты рекомендуют использовать правило: выписали из документа необходимые сведения и вернули его владельцу.

Уничтожение персональных данных

Это одна из обязанностей оператора. Он удаляет ПД, когда их дальнейшее использование невозможно или неоправданно. Для таких действий предусмотрено несколько оснований:

• персданные обрабатывались неправомерно;
• достигнуты цели сбора и обработки ПД;
• человек потребовал ликвидировать личные сведения при обнаружении их неполноты или недостоверности;
• сотрудник отозвал ранее выданное согласие на обработку или требует прекратить распространение сведений о нем;
• истек срок хранения материалов.

Порядок уничтожения
Сведения необходимо уничтожать так, чтобы носитель невозможно было восстановить. Независимо от причин, порядок действий будет одинаковый.

1. Разработка локального нормативного акта. В нем прописано, в каких случаях компания уничтожает информацию и какие способы для этого применяются.

2. Создание комиссии. Соответствующий приказ за подписью руководителя оформляют в произвольной форме. Как правило, в ее состав входят директор, секретарь, начальник отдела кадров и главный бухгалтер.
При необходимости можно добавить руководителя какого-либо структурного подразделения. Всех наделяют необходимыми полномочиями.

3. Составление приказа об отборе материалов и протокола об исполнении задачи. В распоряжении также прописывают, в каком помещении будет проводиться процедура или какими силами.

4. Фактическое уничтожение материалов. Документы на бумажном носителе механически измельчают или сжигают. Кроме того, материалы можно сдать в организацию, которая занимается утилизацией.
Если сведения хранятся в цифровом формате, требуется уничтожить сам носитель или удалить с него записи.

5. Составление акта об уничтожении ПД. В нем указывают:

• наименование и адрес предприятия;
• ФИО и должности членов комиссии;
• ФИО работника, к которому относятся уничтоженные сведения;
• перечень данных;
• основание для удаления и выбранный для этого метод;
• наименование уничтоженных носителей или информационной базы, где были стерты сведения;
• дату проведенного мероприятия.

Если ПД обрабатывались с помощью компьютерной техники, необходимо сделать выгрузку из журнала регистраций событий и приложить ее к акту.

Помните! Чтобы избежать ненужной работы, следует избегать сбора избыточной информации и правильно ее классифицировать.

Ответственность за нарушение правил

При несоблюдении принципов работы с ПД виновному лицу грозит дисциплинарная, материальная, административная или уголовная ответственность. При этом размер штрафов доходит до 500 млн. рублей, а срок заключения – до 10 лет.

Роскомнадзор обладает инструментами автоматизированного контроля и оперативно выявляет нарушения.
Предприниматель не замечает, как ведомство следит за бизнесом и анализирует сведения из различных источников. Если в результате выявились индикаторы риска, Роскомнадзор может провести внеплановую проверку. В такой ситуации штрафов избежать практически невозможно.
Вот почему работа с персональными данными должна быть выстроена как управляемый процесс и находится под постоянным контролем.

Эксперты аутсорсинговой компании заполнят уведомление в Роскомнадзор и подготовят комплект необходимых документов. Специалисты помогут организовать работу и проконсультируют по последним изменениям в законодательстве.