Обработка персональных данных работников · правила для работодателя

Кадровик при оформлении нового сотрудника собирает внушительную папку. Паспорт, СНИЛС, диплом, военный билет, сведения о семье, медицинскую справку, иногда справку об отсутствии судимости. Половину этих документов работодатель запрашивает по привычке, не задумываясь, есть ли под каждый из них правовое основание. Между тем статья 86 Трудового кодекса прямо ограничивает и цели, и объём, и способы получения данных работника. Превышение этих границ превращает обычную кадровую рутину в нарушение, за которое отвечает уже не отдел кадров, а организация.

Правовая база здесь двойная. Трудовой кодекс задаёт специальные требования к данным работника в статьях 86 и 88, а Федеральный закон от 27.07.2006 N 152-ФЗ устанавливает общие условия обработки в статье 6. Работодатель обязан соблюдать оба слоя одновременно. Трудовое регулирование при этом более строгое, потому что отношения работника и работодателя неравны, и закон защищает слабую сторону дополнительными гарантиями.

Десять требований статьи 86 ТК

Статья 86 ТК открывается перечнем общих требований, и каждое из них имеет практический смысл. Первое требование задаёт исчерпывающий список целей. Обработка данных работника допускается исключительно для обеспечения соблюдения законов, содействия в трудоустройстве, получении образования и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества работы и обеспечения сохранности имущества. Любая цель за этими рамками незаконна. Маркетинговое использование данных сотрудников, передача их в сторонние проекты без связи с работой выходят за пределы статьи.

Второе требование обязывает работодателя при определении объёма данных руководствоваться Конституцией, Трудовым кодексом и иными федеральными законами. Это значит, что брать можно ровно столько, сколько нужно для трудовой функции и предписано законом. Третье требование устанавливает правило получения данных у самого работника. Если данные можно получить только у третьей стороны, работник должен быть заранее уведомлен и от него получено письменное согласие. Работодатель при этом сообщает работнику о целях, источниках, способах получения данных, об их характере и о последствиях отказа дать согласие.

Четвёртое требование запрещает работодателю получать и обрабатывать специальные категории данных, кроме случаев, предусмотренных Кодексом и другими федеральными законами. Пятое требование отдельно запрещает обрабатывать данные о членстве в общественных объединениях и о профсоюзной деятельности, опять же кроме случаев, прямо предусмотренных законом. Шестое требование запрещает при решениях, затрагивающих интересы работника, опираться исключительно на данные, полученные в результате автоматизированной обработки или электронного получения. Решение об увольнении или взыскании не может выноситься только алгоритмом.

Седьмое требование возлагает на работодателя обязанность защищать данные работника от неправомерного использования и утраты за свой счёт. Восьмое требование обязывает ознакомить работников под роспись с документами о порядке обработки данных и с их правами. Девятое требование закрепляет, что работники не должны отказываться от своих прав на сохранение и защиту тайны. Десятое требование предписывает совместно вырабатывать меры защиты данных. Этот набор задаёт стандарт, который проверяется при любой инспекции труда и при жалобе работника.

Связь с 152-ФЗ и основанием обработки

Часто звучит вопрос, нужно ли вообще согласие работника, если есть трудовой договор. Статья 6 152-ФЗ перечисляет случаи, когда обработка допускается. Пункт 1 части 1 называет согласие субъекта, но это не единственное основание. Для значительной части кадровой обработки оператор опирается на иные пункты, поскольку обработка нужна для исполнения договора и для выполнения возложенных на работодателя законом обязанностей. Пункт 5 части 1 ст. 6 прямо называет обработку, необходимую для исполнения договора, стороной которого является субъект. Поэтому базовый кадровый учёт обычно держится не на согласии, а на договоре и законе.

Согласие при этом не исчезает. Оно нужно там, где данные выходят за пределы трудовой функции либо получаются у третьей стороны по правилу пункта 3 ст. 86 ТК. Часть 2 ст. 6 152-ФЗ отдельно указывает, что особенности обработки специальных категорий и биометрии устанавливаются статьями 10 и 11 закона, и кадровик обязан помнить про этот повышенный режим.

Передача данных работника по статье 88 ТК

Статья 88 ТК отдельно регулирует передачу данных работника. Работодатель не вправе сообщать данные работника третьей стороне без письменного согласия, кроме случаев, когда это нужно для предупреждения угрозы жизни и здоровью работника, и иных случаев, предусмотренных Кодексом или федеральными законами. Запрещено сообщать данные в коммерческих целях без письменного согласия работника. Лиц, получающих данные, нужно предупредить, что данные используются только в целях, для которых сообщены, и потребовать подтверждения соблюдения этого правила. Получатели обязаны соблюдать режим конфиденциальности.

Внутри организации передача данных идёт в соответствии с локальным нормативным актом, с которым работник ознакомлен под роспись. Доступ предоставляется только уполномоченным лицам, и каждое из них получает лишь те данные, которые нужны для его функций. Запрещено запрашивать сведения о состоянии здоровья работника сверх того, что относится к возможности выполнять трудовую функцию. Представителям работников данные передаются в установленном порядке и только в нужном им объёме.

На что смотрит проверяющий

Инспектор проверяет наличие положения об обработке персональных данных работников и подписи работников об ознакомлении с ним. Смотрит соответствие объёма собранных данных целям из пункта 1 ст. 86 ТК. Проверяет, есть ли письменные согласия там, где данные получены у третьей стороны или используются за пределами трудовой функции. Анализирует разграничение доступа к кадровой базе. Оценивает порядок передачи данных подрядчикам, бухгалтерскому аутсорсингу, страховым компаниям и проверяет, соблюдены ли правила ст. 88 ТК. Отдельно изучает обращение со сведениями о здоровье и со специальными категориями.

Частые ошибки работодателей

Первая ошибка это сбор данных про запас. В анкету включают сведения о вероисповедании, национальности, составе семьи без связи с трудовой функцией. Это прямо упирается в запрет специальных категорий и в требование объёма. Вторая ошибка это получение данных у бывших работодателей или из открытых источников без уведомления работника и без письменного согласия по пункту 3 ст. 86 ТК. Третья ошибка это передача данных бухгалтерской фирме или сервису расчёта зарплаты без оформления отношений и без согласия там, где оно требуется. Четвёртая ошибка это решения об оценке и взыскании, основанные только на автоматизированном контроле, что нарушает пункт 6 ст. 86 ТК. Пятая ошибка это отсутствие подписей об ознакомлении с локальным актом, без которых работодатель не докажет соблюдение пункта 8 ст. 86 и правил ст. 88.

Практический совет состоит в том, чтобы один раз провести инвентаризацию кадровых данных. По каждому полю анкеты и по каждому документу нужно ответить, какая цель из пункта 1 ст. 86 ТК его оправдывает и какая норма закона его требует. Поля без ответа из анкеты убираются. Такой аудит закрывает большинство претензий ещё до проверки. Помочь выстроить кадровый блок по персональным данным мы можем в рамках услуги по персональным данным, а обсудить вашу ситуацию проще через контакты.

Частые вопросы

Нужно ли согласие работника на ведение трудовой книжки и кадрового учёта. Базовый кадровый учёт держится на исполнении трудового договора и на обязанностях, возложенных на работодателя законом, по статье 6 152-ФЗ. Отдельное согласие требуется там, где данные выходят за пределы трудовой функции или получаются у третьих лиц по правилу статьи 86 ТК.

Можно ли передать данные работника в банк для зарплатного проекта. Да, но в пределах нужного объёма и с соблюдением статьи 88 ТК. Передача в коммерческих целях без письменного согласия запрещена, поэтому оформление согласия на зарплатный проект остаётся безопасным решением.

Вправе ли работодатель собирать сведения о здоровье. Только те, которые относятся к вопросу о возможности выполнять трудовую функцию. Статья 88 ТК прямо запрещает запрашивать иную информацию о состоянии здоровья работника.