Обработка персональных данных сотрудников: обязанности работодателя
Каждый работодатель - оператор персональных данных. При приёме на работу, ведении кадрового учёта, начислении зарплаты и даже при увольнении вы обрабатываете персональные данные сотрудников. Закон 152-ФЗ и Трудовой кодекс РФ (глава 14) устанавливают строгие правила такой обработки. Разберём, что обязан делать работодатель и какие документы нужно подготовить.
Какие данные сотрудников обрабатывает работодатель
Перечень персональных данных, которые работодатель обрабатывает в рамках трудовых отношений, достаточно широк:
| Категория данных | Примеры |
|---|---|
| Идентификационные | ФИО, дата и место рождения, гражданство |
| Документы | Паспортные данные, СНИЛС, ИНН, военный билет |
| Образование | Дипломы, сертификаты, квалификация |
| Трудовая деятельность | Трудовая книжка, стаж, предыдущие места работы |
| Финансовые | Банковские реквизиты для зарплаты, оклад |
| Медицинские | Медицинские справки, результаты медосмотров |
| Семейные | Семейное положение, данные детей (для льгот и вычетов) |
| Контактные | Адрес регистрации и проживания, телефон, email |
| Биометрические | Фотография (для пропуска), отпечатки пальцев (для СКУД) |
Каждая из этих категорий требует определённого правового основания для обработки.
Правовые основания обработки данных сотрудников
Работодатель обрабатывает данные на различных правовых основаниях. Важно понимать, какое основание применяется в каждом случае:
Обработка без согласия сотрудника
Согласие не требуется, когда обработка необходима для:
- Исполнения трудового договора (ст. 6 ч. 1 п. 5 152-ФЗ)
- Выполнения обязанностей, предусмотренных законодательством (налоговая отчётность, воинский учёт, пенсионное страхование)
- Выполнения требований Трудового кодекса РФ
Это значит, что для кадрового учёта, начисления зарплаты, сдачи отчётности в ФНС и СФР отдельное согласие на обработку ПД не нужно.
Когда согласие обязательно
Согласие сотрудника необходимо получить для:
- Передачи данных третьим лицам, не связанной с исполнением трудового договора (например, в банк для зарплатного проекта)
- Обработки биометрических данных (фото для пропуска, отпечатки пальцев)
- Обработки специальных категорий данных (состояние здоровья, за исключением случаев, предусмотренных законом)
- Размещения фотографии и данных на корпоративном сайте
- Передачи данных при поручении обработки другой организации (аутсорсинг бухгалтерии, кадров)
- Рекомендательных писем для будущих работодателей
Обязательные документы работодателя
1. Положение об обработке персональных данных
Локальный нормативный акт, который определяет:
- Порядок обработки ПД в организации
- Перечень обрабатываемых данных и цели обработки
- Меры защиты данных
- Права сотрудников и порядок их реализации
- Ответственность за нарушения
Каждый сотрудник должен быть ознакомлен с этим положением под подпись (ст. 86 ТК РФ).
2. Приказ о назначении ответственного
Приказ, которым назначается лицо, ответственное за организацию обработки ПД. Обычно это:
- HR-директор или начальник отдела кадров
- Юрист
- Специально назначенный сотрудник (Data Protection Officer)
3. Согласия на обработку ПД
Подготовьте формы согласий для случаев, когда они обязательны:
- Согласие на обработку данных при передаче третьим лицам
- Согласие на обработку биометрических данных
- Согласие на размещение данных на сайте компании
- Согласие на получение корпоративной рассылки (на личный email)
4. Обязательство о неразглашении
Сотрудники, имеющие доступ к ПД других работников (кадровики, бухгалтеры, IT-специалисты), должны подписать обязательство о неразглашении персональных данных.
5. Журнал учёта доступа к ПД
Ведите учёт:
- Кто имеет доступ к ПД сотрудников
- На каком основании предоставлен доступ
- Когда доступ был предоставлен или прекращён
6. Модель угроз и уровень защищённости
Определите уровень защищённости информационной системы ПД в соответствии с Постановлением Правительства № 1119. Для большинства работодателей это 3-й или 4-й уровень защищённости.
Обработка данных на разных этапах
При приёме на работу
- Получайте только те данные, которые необходимы для заключения трудового договора
- Не требуйте лишних документов (например, справку о судимости требуется только для определённых должностей)
- Ознакомьте сотрудника с положением об обработке ПД под подпись
- Получите необходимые согласия
В процессе работы
- Храните личные дела в закрывающихся шкафах или сейфах
- Ограничьте доступ к кадровым базам данных
- При изменении данных сотрудника (смена фамилии, адреса) обновляйте документы
- Не передавайте данные сотрудников третьим лицам без законного основания или согласия
При увольнении
- Определите сроки хранения данных после увольнения (для разных документов они разные)
- Личные дела хранятся 50 лет (75 лет для созданных до 2003 года)
- Данные, не подлежащие обязательному хранению, уничтожьте в установленном порядке
- Составьте акт уничтожения ПД
Сроки хранения кадровых документов
| Документ | Срок хранения |
|---|---|
| Трудовой договор | 50 лет (75 лет до 2003 г.) |
| Личная карточка (Т-2) | 50 лет (75 лет до 2003 г.) |
| Приказы по личному составу | 50 лет (75 лет до 2003 г.) |
| Табели учёта рабочего времени | 5 лет |
| Документы по зарплате | 6 лет |
| Графики отпусков | 3 года |
| Резюме непринятых кандидатов | 1 год |
| Согласия на обработку ПД | Весь срок обработки + 3 года |
Частые нарушения работодателей
-
Хранение копий паспортов. Многие работодатели хранят ксерокопии паспортов сотрудников. Это допустимо только при наличии законного основания и указанной цели. После достижения цели копии должны быть уничтожены.
-
Открытый доступ к кадровым данным. Личные дела лежат на столе кадровика, зарплатные ведомости видны всем - грубое нарушение.
-
Передача данных без согласия. Отправка данных сотрудника в страховую компанию для ДМС без его письменного согласия.
-
Нет положения об обработке ПД. Организация обязана иметь этот документ и ознакомить с ним каждого сотрудника.
-
Сбор избыточных данных. Запрос вероисповедания, политических взглядов, информации о хобби, если это не связано с трудовой деятельностью.
-
Публикация фото сотрудников без согласия. Размещение фотографий на корпоративном сайте, в презентациях или в социальных сетях без письменного согласия.
Штрафы для работодателей
Нарушение правил обработки ПД сотрудников влечёт ответственность по нескольким основаниям:
- КоАП 13.11 - нарушение законодательства о ПД: штраф до 150 000 ₽ на юрлицо
- КоАП 13.14 - разглашение информации с ограниченным доступом: штраф до 50 000 ₽
- ТК РФ ст. 90 - дисциплинарная ответственность для сотрудников, нарушивших правила обработки ПД (вплоть до увольнения)
- УК РФ ст. 137 - при незаконном сборе сведений о частной жизни: до 2 лет лишения свободы
Подготовьте документы для вашей организации
Правильная организация работы с персональными данными сотрудников начинается с документов. Генератор документов Порядок поможет создать политику обработки персональных данных, адаптированную под вашу организацию. Этот документ станет основой для всех внутренних процедур по работе с ПД сотрудников. Дополнительно вы можете сгенерировать политику конфиденциальности для корпоративного сайта и формы согласий - всё необходимое для соответствия 152-ФЗ.