Как только организация принимает на работу первого сотрудника и подписывает с ним трудовой договор, она автоматически становится оператором персональных данных․ Обработка личной информации работников — это неотъемлемая часть кадрового делопроизводства, бухгалтерского учета и соблюдения налогового законодательства․ В данной статье мы подробно разберем, как пересекаются статус оператора и трудовые отношения, какие документы необходимы, и когда работодатель вправе обрабатывать данные без согласия сотрудника․
Когда компания становится оператором?
Многие предприниматели ошибочно полагают, что статус оператора персональных данных приобретается только после уведомления Роскомнадзора или при запуске масштабных баз клиентов․ На самом деле, достаточно подписать трудовой договор с сотрудником, чтобы попасть под действие Федерального закона от № 152-ФЗ «О персональных данных»․
Прием на работу подразумевает сбор копий паспорта, СНИЛС, ИНН, дипломов, заполнение личной карточки и ведение трудовой книжки․ Вся эта информация относится к персональным данным (ПД), а работодатель выступает в роли оператора, который определяет цели и способы их обработки․
Обработка ПД по Трудовому кодексу РФ: когда согласие не требуется?
Один из самых частых вопросов: нужно ли брать с работника письменное согласие на обработку его данных для оформления трудового договора? Согласно разъяснениям Минцифры РФ, оператор вправе обрабатывать персональные данные без согласия субъекта, если это осуществляется в соответствии с законодательством․
В частности, согласие не требуется в следующих случаях:
- Обработка ПД осуществляется в соответствии с трудовым законодательством РФ (ст․ 88 ТК РФ и п․ 2․1 ч․ 1 ст․ 6 ФЗ-152)․
- Обработка необходима для обеспечения соблюдения налогового законодательства РФ․
- Обработка осуществляется в соответствии с законодательством о государственной социальной помощи и пенсионным законодательством․
Это означает, что для заключения и исполнения трудового договора, ведения кадрового и бухгалтерского учета отдельное согласие работника не требуется․ Закон напрямую наделяет работодателя правом обрабатывать эти данные для выполнения возложенных на него обязанностей․
Локальный акт: обязательный документ работодателя
Несмотря на то, что согласие на обработку данных в рамках трудового договора не требуется, работодатель обязан иметь внутренний документ, регламентирующий этот процесс․
В соответствии со ст․ 86-88 Трудового кодекса РФ (ТК РФ от 30 декабря 2001 года № 197-ФЗ), работодатель обязан иметь документ, устанавливающий порядок обработки персональных данных работников․ С этим документом работники и их представители должны быть ознакомлены под роспись․
Обычно такой документ называется «Положение о обработке персональных данных работников»․ В нем прописываются:
- Цели обработки ПД (обеспечение соблюдения трудового законодательства, ведение кадрового и бухгалтерского учета, содействие работникам в трудоустройстве и т․д․)․
- Перечень обрабатываемой информации․
- Порядок доступа к данным․
- Меры защиты информации․
- Права и обязанности работников и работодателя․
Документы оператора: что должно быть в компании?
Чтобы исполнять требования законодательства в области персональных данных, оператор должен сформировать пакет обязательных документов․ Примерный перечень включает:
- Документ о классификации информационных систем (ИСПДн), в которых обрабатываются данные сотрудников․
- Список лиц, которым необходим доступ к персональным данным, обрабатываемым в информационной системе, утвержденный оператором или уполномоченным лицом․
- Политика в отношении обработки персональных данных (публичный документ)․
- Локальный акт о порядке обработки ПД работников (как упоминалось выше)․
- Приказ о назначении ответственного за обработку ПД․
Назначение ответственного за персональные данные
Постановлением Правительства РФ от № 1119 установлена необходимость назначения работника, ответственного за обеспечение безопасности персональных данных в информационной системе․ В отдельных случаях, в зависимости от масштабов компании и типа ИСПДн, должно быть создано отдельное структурное подразделение․
Важно понимать терминологию: термин «работник» традиционно интерпретируется как лицо, состоящее с оператором в трудовых отношениях․ То есть, ответственным должен быть штатный сотрудник, с которым заключен трудовой договор․ На него возлагается контроль за соблюдением правил обработки, организация доступа и обеспечение безопасности баз данных․
Хранение персональных данных: бумага или облако?
На этапе подготовки к обработке данных оператор должен определить, где именно они будут храниться․ Возможные варианты:
- Бумажный архив — традиционно используется для хранения документов сотрудников, собираемых при приеме на работу: копий паспорта, трудовых книжек, личных дел․
- Локальный сервер — для хранения электронных баз данных внутри контура компании․
- Облачные хранилища — при выборе этого варианта необходимо убедиться, что облачный провайдер находится на территории РФ (если иное не предусмотрено законом) и обеспечивает надлежащий уровень защиты информации․
Уведомление Роскомнадзора: новые правила
Ранее многие работодатели не подавали уведомление в Роскомнадзор при обработке данных работников, считая, что обработка по трудовому законодательству освобождает их от этой обязанности․ Однако сейчас появилось новое основание для уведомления об обработке персданных — обработка в соответствии с трудовым законодательством․
Это означает, что компании, которые ранее не подавали уведомление (или подавали, но по другой причине), и уже состоят в реестре операторов персональных данных, должны актуализировать свои данные․ Теперь обработка ПД по ТК РФ является самостоятельным основанием, которое должно быть отражено в уведомлении, подаваемом в Роскомнадзор․
Трудовой договор — это не только основание для возникновения рабочих отношений, но и стартовая точка для возникновения обязанностей оператора персональных данных․ Чтобы избежать штрафов от контролирующих органов, работодателю необходимо:
- Разработать и утвердить локальный акт о обработке ПД работников․
- Ознакомить сотрудников с документом под роспись․
- Определить перечень обрабатываемых данных и места их хранения․
- Назначить ответственного сотрудника (заключив с ним соответствующие условия в рамках трудового договора или поручив дополнительную работу)․
- Своевременно подать или обновить уведомление в Роскомнадзоре с указанием обработки данных в соответствии с трудовым законодательством․
Соблюдение этих простых, но строгих правил позволит компании легитимно выступать оператором персональных данных и обеспечит надежную защиту как интересов бизнеса, так и частной жизни его сотрудников․