Первая волна «истерии по персональным данным» случилась в июле 2011 года, когда Федеральным законом от 25.07.2011 № 261-ФЗ «О внесении изменений в Федеральный закон ”О персональных данных”»
Где найти:
ИБ Российское законодательство
(Версия Проф)
Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (далее по тексту – Закон № 152-ФЗ) был изложен в новой редакции. По сути, он был переписан. Но спустя некоторое время работодатели успокоились, так как размер штрафа, предусмотренного в ст. 13.11 КоАП РФ, не превышал 10 000 рублей.
Оценив все усилия по соблюдению законодательства в области персональных данных и последствия за несоблюдение, многие работодатели по понятным причинам выбрали второй путь. Законом № 13-ФЗ с 1 июля 2017 года ст. 13.11 КоАП РФ излагается в новой редакции. Появляется семь новых составов правонарушений в области персональных данных с размерами штрафных санкций на юридических лиц от 15 000 рублей за нарушение обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора в отношении обработки персональных данных, до 75 000 рублей за отсутствие согласия на обработку персональных данных в предусмотренных законодательством случаях или невключение обязательных для согласия сведений. Ознакомиться с текстом Закона № 13-ФЗ вы можете в СПС КонсультантПлюс.
Где найти:
ИБ Российское законодательство
(Версия Проф)
Отметим также, что в рамках одного тематического сюжета невозможно рассмотреть все обязанности работодателя как оператора обработки персональных данных, это невозможно осуществить даже в рамках однодневного семинара, но мы рассмотрим те нарушения, по которым чаще всего привлекаются к ответственности работодатели, и те обязанности, которые связаны с работой кадровой службы.
Вся сложность вопроса по организации защиты персональных данных заключается в том, что отсутствует четкий перечень документов, которые должны быть у работодателя по защите персональных данных. Более того, в Трудовом кодексе РФ в гл. 14 это один состав документов, а в самом Законе № 152-ФЗ косвенно вытекающий из прочтения соответствующих норм пакет документов в разы больше.
С чего же следует начать работодателю при погружении в область персональных данных?
Первый этап – подготовительный. Невозможно направить уведомление в Роскомнадзор РФ или взять согласие на обработку персональных данных, когда у работодателя не определены категории персональных данных, подлежащих обработке, не установлены цели и содержание обработки персональных данных и т.д. Поэтому на подготовительном этапе рекомендуется проанализировать законодательство в области персональных данных. Перечень важнейших нормативно-правовых актов в области персональных данных можно посмотреть в документе, утвержденном Роскомнадзором РФ, – Перечне нормативных правовых актов, устанавливающих обязательные требования к осуществлению деятельности юридических лиц и индивидуальных предпринимателей за соответствием обработки персональных данных требованием законодательства Российской Федерации в области персональных данных.
Где найти:
ИБ Российское законодательство
(Версия Проф)
На данном этапе происходит анализ наличия взаимодействия компании с внешними компаниями (например, страховыми компаниями, банками, клиентами, контрагентами и т.п.). Здесь же определяются цели и содержание обработки персональных данных, категории обрабатываемых персональных данных, выявляются и анализируются все эксплуатируемые информационные системы, утверждается состав рабочей группы, которой будет поручена разработка проектов документов и нормативных актов в области персональных данных.
Второй этап – формирование перечня персональных данных и перечня информационных систем персональных данных. Такие перечни могут утверждаться отдельным приказом руководителя или описываться в соответствующих локальных нормативных актах (например, перечень персональных данных, обрабатываемых в организации, может быть представлен как один из разделов Положения о персональных данных). В этом вопросе хотелось бы предупредить распространенную ошибку компаний, которые в таких локальных актах называют не сами персональные данные, а документы, содержащие персональные данные.
Для того чтобы было понятно, о чем идет речь, приведем пример, как такая неправильная формулировка звучала в Положении о персональных данных одного нерадивого работодателя:
«В Обществе обрабатываются следующие персональные данные:
– паспорт или иной документ, удостоверяющий личность;
– трудовая книжка, за исключением случаев, когда трудовой договор заключается впервые или работник поступает на работу на условиях совместительства;
– страховое свидетельство государственного пенсионного страхования;
– документы воинского учета – для военнообязанных и лиц, подлежащих призыву на военную службу;
– документ об образовании, о квалификации или наличии специальных знаний при поступлении на работу, требующую специальных знаний или специальной подготовки».
При этом такой перечень документов содержался в разделе с названием «Перечень персональных данных, обрабатываемых в ООО “Работодатель”». Правильнее указывать конкретный перечень персональных данных, которые обрабатываются в компании, или, например, указывать, какие именно персональные данные обрабатываются на основе паспорта, трудовой книжки и т.п. Верхом совершенства работодателя является способ, когда перечень персональных данных соотносится с целями деятельности компании. Например, в целях заключения договоров с контрагентами – такие-то персональные данные, в целях регулирования трудовых отношений – такие-то, в целях отбора персонала и формирования кадрового резерва – такие-то и т.д. В любом случае единых требований к решению этого вопроса не установлено.
ВАЖНО: в таком приказе или локальном нормативном акте работодателя следует разделять перечни персональных данных, обрабатываемых без использования средств автоматизации, и перечни персональных данных, обрабатываемых в информационных системах. Тем работодателям, которые только начинают знакомство с темой персональных данных, рекомендуем к обязательному изучению Постановление Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»
Где найти:
ИБ Российское законодательство
(Версия Проф)
и Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».
Где найти:
ИБ Российское законодательство
(Версия Проф)
А также (именно в части «посмотреть, как делают другие») можно порекомендовать Приказ Роскомнадзора от 03.12.2012 № 1255 «Об утверждении Положения об обработке и защите персональных данных в центральном аппарате Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций».
Где найти:
ИБ Российское законодательство
(Версия Проф)
Третий этап – назначение ответственного за организацию обработки персональных данных в соответствии с подп. 1 п. 1 ст. 18.1 Закона № 152-ФЗ. Одним из первых документов проверяющие из Роскомнадзора РФ запрашивают приказ о назначении такого ответственного лица, в связи с чем на практике такое ответственное лицо действительно определяется приказом работодателя. Будьте внимательны: в названии и тексте приказа используйте формулировку из закона. Упустите «за организацию», напишете просто «ответственный за обработку персональных данных» – проверяющие могут решить, что лицо, ответственное за организацию обработки персональных данных, отсутствует. В приказе укажите, кто является ответственным, кто будет ответственным в случае временного отсутствия ответственного лица, какие права и обязанности есть у ответственного. За основу (но только в качестве «посмотреть, как делают другие») можно взять Приказ Роскомнадзора от 03.12.2012 № 1255, но адаптировав его под вашу организацию. Также во исполнение требований Постановления Правительства РФ от 01.11.2012 № 1119 в организации должен быть определен ответственный за обеспечение безопасности персональных данных в информационной системе. Но это тот работник, который будет обеспечивать именно «техническую сторону обеспечения защиты персональных данных при их обработке в информационных системах», их может быть несколько в зависимости от уровня защищенности персональных данных при их обработке в информационных системах.
И да, еще один вопрос исключительно кад-рового характера: при издании таких приказов о назначении ответственных работодателю не следует забывать основополагающий принцип трудового законодательства – запрет принудительного труда, а также запрет (ст. 60 ТК РФ) требовать от работника работы, не предусмотренной трудовым договором. Полагаем, что поручение такой работы только на основании приказа работодателя будет нарушать принцип запрета принудительного труда.
Четвертый этап – разработка комплекса мер, направленных на обеспечение выполнения обязанностей, предусмотренных Законом № 152-ФЗ.
Это один из самых объемных и сложных вопросов, который при всем желании невозможно раскрыть в рамках статьи. В соответствии с частью 1 ст. 18.1 Закона № 152-ФЗ оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом № 152-ФЗ и принятыми в соответствии с ним нормативными правовыми актами. Далее в ст. 18.1 и ст. 19 определен только примерный перечень таких мер, но он должен неукоснительно выполняться операторами.
К таким мерам относится разработка целого комплекса положений, инструкций, правил иных локальных нормативных актов работодателя в области персональных данных.
Так, например, в рамках соблюдения гл. 14 Трудового кодекса РФ у работодателя должны быть:
– документы, устанавливающие порядок обработки персональных данных работников, а также их права и обязанности в этой области (п. 8 ст. 86 ТК РФ);
– документ, определяющий порядок хранения и использования персональных данных работников (ст. 87 ТК РФ);
– локальный нормативный акт, определяющий порядок передачи персональных данных работника в пределах одной организации, у одного индивидуального предпринимателя (абз. 4 части 1 ст. 88 ТК РФ);
– приказ о разрешении доступа к персональным данным специально уполномоченным лицам (абз. 5 части 1 ст. 88 ТК РФ).
Требует особого комментария последний документ: вид документа, содержание документа, которым определяется допуск к обработке персональных данных должностных лиц, разрабатывается работодателем самостоятельно. На практике это чаще всего именно приказ. Но обратите внимание: существует огромное количество авторских форм, которые вы найдете в Интернете, в статьях, книгах, в то время как в приказе содержится только перечень должностей и Ф. И. О. работников, допущенных к обработке персональных данных.
Во-первых, нужно разделять перечень должностных лиц, допущенных к обработке персональных данных без использования средств автоматизации, и перечень лиц, допущенных к обработке персональных данных в информационных системах. Во-вторых, в абз. 5 части 1 ст. 88 ТК РФ указано, что они должны иметь право получать только те персональные данные работника, которые необходимы для выполнения конкретных функций. Кроме того, в соответствии с частью 5 ст. 5 Закона № 152-ФЗ обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки. Соответственно, настоятельно рекомендуем при разработке такой формы определять не только перечень должностных лиц, имеющих допуск к персональным данным, но и перечень персональных данных, к которым они допущены, только после тщательного анализа трудовых функций таких работников, т.е. необходимо анализировать должностные инструкции работников и отвечать на вопрос о том, какие персональные данные может обрабатывать этот работник в силу характера своей работы.
Обратите внимание в соответствии с п. 1 части 1 и частью 2 ст. 18.1 Закона № 152-ФЗ оператор должен не только издать документы, определяющие его политику в отношении обработки персональных данных, но и обеспечить неограниченный доступ к этому документу, а также к сведениям о реализуемых требованиях к защите персональных данных. С 1 июля 2017 года в части 3 ст. 13.11 КоАП РФ появится ответственность за невыполнение этого требования.
В соответствии с подп. 2 части 1 ст. 18.1 у работодателя должны быть локальные нормативные акты по вопросам обработки персональных данных. Как правило, в Положении о персональных данных указывается общая информация о способах обработки персональных данных, которые конкретизируются уже в положениях (инструкциях, правилах, стандартах – вид документа не имеет значения) об обработке персональных данных без использования средств автоматизации и обработке персональных данных в информационных системах.
Также должны быть локальные акты, устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений. Крайне редко операторы для выполнения этой обязанности принимают отдельный локальный нормативный акт. Чаще всего соответствующий раздел включается в Положение об обработке персональных данных.
В целях выполнения подп. 4 части 1 ст. 18.1 Закона № 152-ФЗ обычно принимаются Правила осуществления внутреннего контроля и (или) аудита соответствия обработки персональных данных требованиям к защите персональных данных.
На практике проверяющие из Роскомнадзора РФ могут запросить и журнал учета мероприятий по контролю над соблюдением режима защиты персональных данных (разрабатывается работодателем в произвольной форме). Обязанность по осуществлению контроля за соблюдением оператором и его работниками законодательства Российской Федерации о персональных данных в силу п. 1 части 4 ст. 22.1 Закона № 152-ФЗ передана ответственному за организацию обработки персональных данных.
Во исполнение подп. 6 части 1 ст. 18.1 Закона № 152-ФЗ должны быть получены росписи работников, подтверждающие их ознакомление с положениями законодательства Российской Федерации о персональных данных. Для этих целей можно утвердить журнал учета ознакомления с положениями законодательства Российской Федерации о персональных данных, требованиями к защите персональных данных, документами, определяющими политику работодателя в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных.
Обязательно утверждается перечень мероприятий по защите персональных данных. Этот вопрос может быть прописан в Положении о защите персональных данных. Дополнительно к нему или самостоятельно работодатели на практике утверждают план мероприятий по защите персональных данных.
Кроме того, должно быть организовано обу-чение работников по законодательству о персональных данных, и это также обязанность лица, ответственного за организацию обработки персональных данных. Документом, подтверждающим выполнение данной обязанности, может быть утверждаемый план мероприятий по обучению работников и журнал учета мероприятий по обучению работников. Все формы разрабатываются работодателями самостоятельно, их нет в унифицированном виде.
Дополнительно работодателю необходимо выполнить весь перечень мер по обеспечению безопасности персональных данных при их обработке, предусмотренный в ст. 19 Закона № 152-ФЗ.
Для соблюдения порядка передачи персональных данных, закрепленного в соответствующих локальных нормативных актах работодателя, ведутся журналы учета передачи персональных данных. В журнале отмечается информация не только о том, кому, когда, какие документы, содержащие персональные данные, передаются, но и указывается цель передачи и срок. Помимо этого, также следует вести журнал учета выдачи персональных данных работников организациям и государственным органам, в котором необходимо регистрировать поступающие запросы, а также фиксировать сведения о лице, направившем запрос, дату передачи персональных данных или уведомления об отказе в их предоставлении и отмечать, какая именно информация была передана.
Система учета персональных данных также может предусматривать проведение регулярных проверок наличия документов и других носителей информации, содержащих персональные данные работников, а также устанавливать порядок работы с ними. В этой связи необходимо ведение журнала проверок наличия документов, содержащих персональные данные работника.
Из обязательного (контролируют не только проверяющие из Роскомнадзора РФ, но и с 1 июля 2017 года будет выделено в самостояельное основание для привлечения операторов к административной ответственности по части 2 ст. 13.11 КоАП РФ): должно быть дано согласие на обработку персональных данных, форма согласия должна содержать состав сведений, предусмотренных частью 4 ст. 9 Закона № 152-ФЗ.
ВОПРОС:
Можно ли один раз взять с работника согласие на обработку персональных данных и их передачу для всех тех, кому посчитает нужным работодатель, например, для предоставления в страховую компанию, но не указывать название страховой компании, или в банк в целях оформления зарплатных карт, но не указывать наименование банка?
Во-первых, в соответствии с абз. 5 части 1 ст. 88 ТК РФ работодатель не должен сообщать персональные данные работника третьей стороне без письменного согласия работника.
Во-вторых, работодатель должен предупредить лиц, получающих персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено.
В-третьих, в состав сведений, которые включаются в согласие в соответствии с частью 4 ст. 9 Закона № 152-ФЗ, помимо прочего, входят наименование или фамилия, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных.
В связи с этим полагаем, что согласие берется под каждый конкретный случай. Напомним, что в ст. 6 Закона № 152-ФЗ перечислен перечень случаев, когда обработка персональных данных осуществляется без согласия. И в целом, если бы работодатель обрабатывал только персональные данные для целей соблюдения трудового законодательства, для отражения только в кадровых документах или документах, вытекающих из трудовой функции работника, то письменное согласие не требовалось бы в соответствии с подп. 5 части 1 ст. 6 Закона № 152-ФЗ. Но дальше начинают возникать вопросы о том, размещаются ли персональные данные работников на внутреннем или внешнем сайте работодателя, вывешиваются ли на дверях таблички, содержащие персональные данные, оформляются ли визитки, бейджи для работников, обрабатываются ли персональные данные в информационных системах, доступ к которым имеют третьи лица (например, специалист, обновляющий систему 1С), передаются ли персональные данные в банк, страховую компанию и т.д. и т.п. Всё это приводит к тому, что работодатель обязан получать согласие работника.
Несколько слов о том, кто является третьими лицами, в целях выполнения работодателем требования не сообщать персональные данные работника без письменного согласия работника: к третьим лицам относятся не только внешние организации, физические лица, но и работники данного работодателя, не получившие доступ к персональным данным, т.е. те, которые не названы в приказе о назначении лиц, допущенных к обработке персональных данных.
Помимо формы согласия, которая должна отвечать требованиям части 4 ст. 9 Закона № 152-ФЗ, работодателями ведется Журнал учета согласий субъектов персональных данных.
Форма Журнала может быть, например, следующей.
Журнал учета согласий субъектов персональных данных
№ п/п
|
Дата, № согласия
|
Субъект ПДн
|
Перечень ПДн, на обработку которых дается согласие сотрудника
|
Цель обработки ПДн
|
Срок, в течение которого действует согласие
|
Подпись лица, получившего согласие
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Также работодатели обязаны выполнять требования ст. 14 Закона № 152-ФЗ в части права работника на доступ к его персональным данным. Право работника на получение полной информации о его персональных данных и обработке этих данных предусмотрено и ст. 89 ТК РФ. Для этих целей работодатели ведут Журнал учета обращений субъектов персональных данных о выполнении их законных прав в области защиты персональных данных. Форма Журнала произвольная.
Повторимся: перечень мер по соблюдению законодательства в области персональных данных на этом не исчерпывается. Но в рамках тематического сюжета мы рассматриваем только то, что может касаться работников кадровой службы, а также самые распространенные ошибки работодателей. Всё, что связано с защитой персональных данных при их обработке в информационных системах, нами опускается.
После того как определено ответственное лицо за организацию обработки персональных данных, определены лица, получившие доступ к персональным данным, разработан комплекс мер, направленных на соблюдение законодательства в области персональных данных, работники ознакомлены с локальными нормативными актами работодателя по персональным данным, определены способы и места хранения документов, содержащих персональные данные, определены случаи обработки персональных данных при наличии письменного согласия и форма согласия утверждена, в завершение нашего тематического сюжета перейдем к пятому этапу по соблюдению работодателями законодательства о персональных данных.
Пятый этап – направление уведомления о начале обработки персональных данных в Роскомнадзор РФ.
Согласно части 1 ст. 22 Закона № 152-ФЗ оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных.
Вся сложность этой нормы заключается в том, что в силу п. 2.1 ст. 25 Закона № 152-ФЗ операторы, которые осуществляли обработку персональных данных до 1 июля 2011 года, обязаны были представить в уполномоченный орган по защите прав субъектов персональных данных сведения, перечисленные в пп. 5, 7.1, 10 и 11 части 3 ст. 22 Закона № 152-ФЗ, не позднее 1 января 2013 года.
В первую очередь нужно выяснить, есть ли ваша организация в реестре операторов персональных данных, который ведется на сайте Роскомнадзора. Для этого в поисковике реестра достаточно набрать ИНН организации. Если такое уведомление не подавалось, необходимо решить вопрос, а обязана ли была организация его направлять.
Перечень случаев, когда уведомление не подается, указан в части 2 ст. 22 Закона № 152-ФЗ. Но это тот случай, когда при прочтении данной нормы «у двух юристов – три мнения». Так, оператор вправе осуществлять обработку персональных данных без уведомления Роскомнадзора РФ, если они обрабатываются в соответствии с трудовым законодательством, а также данных, полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных.
То есть подать уведомление нужно, если компания обрабатывает персональные данные не только работников и контрагентов – физических лиц. Многие работодатели до сих пор не направили уведомление, обосновывая это тем, что работодатель обрабатывает персональные данные только своих работников. Но в большинстве случаев такая позиция является ошибочной. Во-первых, не всегда работодатель обрабатывает персональные данные работников только для целей соблюдения трудового законодательства. Передаются ли персональные данные страховой компании в целях оформления полиса ДМС? Передаются ли персональные данные работников в банк для оформления зарплатной карты? Такое действие с персональными данными, как передача, входит в понятие обработки персональных данных. Кроме того, организации могут обрабатывать персональные данные своих покупателей, клиентов. По мнению проверяющих, это требует предоставления уведомления. См., например, Постановление Московского городского суда от 24.10.2013 № 4а-1996/13.
Где найти:
ИБ Суды общей юрисдикции
Ответственность за непредоставление уведомления наступает по ст. 19.7 КоАП РФ: например, штраф для юридических лиц составляет от 3 000 до 5 000 рублей.
Работодатели, которые не уведомили Роскомнадзор РФ, рискуют получить письмо от чиновников. В ответ на него они будут обязаны направить уведомление или обосновать причины его ненаправления.
Порядок представления уведомления об обработке персональных данных регулируется:
– Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;
– Административным регламентом Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по предоставлению государственной услуги «Ведение реестра операторов, осуществляющих обработку персональных данных» (утв. Приказом Минкомсвязи России от 21.12.2011 № 346);
Где найти:
ИБ Российское законодательство
(Версия Проф)
– Рекомендациями по заполнению формы уведомления об обработке (о намерении осуществлять обработку) персональных данных (утв. Роскомнадзором 29.01.2016).
Где найти:
ИБ Российское законодательство
(Версия Проф)
В любом случае принимать решение о предоставлении или непредоставлении такого уведомления должен работодатель, оценив предварительно возможные правовые последствия своих действий или бездействия.
В заключение отметим, что работник кадровой службы обязан знакомить работников под роспись с локальными нормативными актами в области персональных данных. Такой работник должен быть в перечне должностных лиц, допущенных к обработке персональных данных, с ним должно быть подписано обязательство о неразглашении персональных данных. Также сотрудник кадровой службы участвует в получении согласия работника на обработку или передачу персональных данных. С остальными своими правами и обязанностями в области персональных данных он должен быть ознакомлен, как и все остальные работники, через обучение законодательству в области персональных данных, обеспечить которое должен ответственный за организацию обработки персональных данных.