Защита персональных данных работника

Локальный нормативный  акт, регламентирующий процедуру обработки  персональных данных работника, должен содержать:

– круг вопросов, относящихся к персональным данным работников;

– перечень сведений, составляющих государственную, коммерческую, служебную и иную тайну;

– перечень сведений, носящих конфиденциальный характер;

– круг лиц (перечень должностей), наделенных правом доступа к информации, составляющей персональные данные работников, государственную, коммерческую, служебную и иную тайну;

– права и обязанности должностных лиц, осуществляющих обработку персональных данных работников;

– права работников на ознакомление со своими персональными данными, в том числе с участием своего представителя, на получение ими копий любой записи, содержащей их персональные данные, на полную информацию о своих персональных данных и обработке этих данных;

– порядок получения (сбора) персональных данных работников;

– порядок формирования информационных ресурсов;

– порядок хранения, использования и передачи третьей стороне работодателем персональных данных работников;

– порядок ознакомления работника, в том числе с участием своего представителя, со своими персональными данными;

– порядок получения работником копий любой записи, содержащей его персональные данные, полной информации о своих персональных данных и обработке этих данных ответственность должностных лиц за нарушение правил обработки персональных данных работников.

Формирование информационных ресурсов осуществляется работодателем путем получения, хранения, комбинирования, документирования информации о конкретном работнике.

Документы по личному  составу создаются в результате трудовых отношений. К ним относятся: приказы по личному составу, выписки из них, трудовые договоры, заявления, трудовые книжки, личные листки, резюме, характеристики, личные карточки, книга приказов, распоряжений, книга учета движения трудовых книжек и т. д.

По общему правилу, все  персональные данные работника следует получать только у него самого. В случае, когда персональные данные можно получить только у третьей стороны, работник должен быть уведомлен об этом заранее и от него должно быть получено на это письменное согласие. При этом работодатель должен сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих уточнению персональных данных и последствиях отказа работника дать письменное согласие на их получение.

К обязанностям лица, поступающего на работу, относится предъявление документов, предусмотренных ст. 65 ТК РФ, а также иными федеральными законами, указами Президента РФ и постановлениями Правительства РФ.

Предъявление лицом, изъявившим желание заключить трудовой договор, установленных законодательством документов позволяет работодателю определить его деловые качества и решить вопрос о заключении с ним трудового договора. Отсутствие у работника необходимых документов, подлежащих предъявлению им при приеме на работу, обязывает работодателя оказать ему содействие в истребовании отсутствующих документов или запросить необходимую информацию у третьих лиц с согласия работника.

Законодатель не регламентирует правовые последствия, связанные с отказом лица на получение работодателем у третьих лиц информации, необходимой для заключения трудового договора (или для допуска к работе работника). По нашему мнению, следует полагать, что подобное поведение лица, имеющего намерение заключить трудовой договор, дает правовое основание для отказа в приеме его на работу. Это связано с тем, что отсутствие предусмотренных трудовым законодательством документов не позволяет работодателю сделать вывод о возможности заключить с ним трудовой договор без нарушения обязательных правил приема на работу, установленных ТК РФ или иными федеральными законами.

Пункты 4, 5 ст. 86 ТК РФ устанавливают  гарантии равенства возможностей работников без всякой дискриминации на продвижение по работе независимо, например, от его политических, религиозных и иных убеждений, а также независимо от членства в профсоюзе. Этим обусловлено наложение запрета на получение и обработку персональных данных работника о его политических, религиозных и иных убеждениях и частной жизни, а также о его членстве в общественных объединениях или его профсоюзной деятельности. Исключения из этого правила могут устанавливаться федеральными законами, например для государственных служащих, работников правоохранительных органов, судей и др. Так, например, в соответствии с законом судья не вправе принадлежать к политическим партиям и движениям [5, ст.3]. Получение или проверка информации в этом случае обусловлены требованиями, предусмотренными для данной категории работников.

По общему правилу, запрещается  запрашивать информацию о состоянии  здоровья работника. Исключение из этого правила составляют сведения, необходимые работодателю для решения вопроса о возможности допустить того или иного работника к выполнению определенной работы.

Лица, которым при обучении, исполнении профессиональных, служебных и иных обязанностей стали известны сведения, составляющие врачебную тайну, несут юридическую ответственность за ее разглашение.

Работодатель при принятии решений, затрагивающих интересы работника, не имеет права основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного получения информации, представляющей собой персональные данные работника.

В зависимости от специфики  работы федеральными законами, иными  нормативными правовыми актами могут  устанавливаться дополнительные требования к получению, обработке и хранению персональных данных работников.

2.2 Использование персональных данных работника

 

Использование персональных данных работника  осуществляется путем:

– передачи их другим лицам с учетом требований, предъявляемых ст. 88 ТК РФ, или любым другим способом, не противоречащим требованиям действующего законодательства;

– предоставления работнику свободного бесплатного доступа к своим персональным данным в соответствии со ст. 89 ТК РФ, получения им необходимых сведений от работодателя.

Передача персональных данных работника  осуществляется:

– в пределах одной организации;

– третьей стороне.

Законодательством установлены достаточно жесткие требования, которые должны соблюдаться при передаче персональных данных как в пределах одной организации, так и при передаче их третьим лицам.

В соответствии с требованием ст. 88 ТК РФ в пределах одной организации  передача персональных данных работника  осуществляется в соответствии с локальным нормативным актом организации, с которым работник должен быть ознакомлен под расписку.

К требованиям, предъявляемым при  передаче персональных данных работника  в пределах одной организации, относится:

1) соблюдение положений  локального акта, регламентирующих порядок обработки, хранения и использования персональных данных работника;

2) установление доступа  к персональным данным работника  только специальным уполномоченным  лицам;

3) ограничение информации, составляющей персональные данные работника, при передаче этих сведений представителям работника. В соответствии с этими требованиями работодатель должен передавать только те персональные данные работника, которые необходимы для выполнения указанными представителями их функций.

К требованиям, предъявляемым  при передаче персональных данных работника  третьим лицам, относятся:

1) наличие письменного  согласия работника на передачу  третьей стороне его персональных  данных, в том числе в коммерческих целях. Исключение составляют случаи, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также случаи, установленные федеральным законом;

2) предупреждение третьих  лиц о целях использования  персональных данных работника, сообщенных работодателем;

3) получение от третьих  лиц подтверждения, что это  правило соблюдено.

Нарушение установленных  требований влечет за собой юридическую ответственность виновных лиц.

2.3 Права работников в области защиты персональных данных

 

Наряду с закрепленными за работодателем обязанностями по обеспечению защиты персональных данных работника ст. 88 ТК РФ регламентирует права работников в этой области.

Условно права работника, направленные на обеспечение защиты его персональных данных, можно разделить на 3 группы:

1) на полную информацию  о своих персональных данных  и их обработке;

2) требовать устранения  недостатков, имеющихся в персональных данных работника;

3) на защиту от неправомерных  действий (бездействия) работодателя всеми установленными законом способами.

Право на полную информацию о своих персональных данных и  их обработке установлено также  в Федеральном законе «Об информации, информационных технологиях и о защите информации». Так, в соответствии с п. 1 ст. 8 указанного Закона работники имеют право на доступ к документированной информации о них, имеют право знать, кто, в каких целях использует или использовал эту информацию. В силу п. 2 ст. 14 Закона работодатель, как владелец документированной информации о работнике, обязан предоставить по его требованию бесплатно информацию в той части, которая касается непосредственно самого работника.

Право отдельной категории  работников на полную информацию, составляющую их персональные данные, устанавливается также федеральными законами, указами Президента РФ, постановлениями Правительства РФ. Так, в соответствии с п. 9 Указа Президента РФ от 15 мая 1997 г. «О предоставлении лицами, замещающими государственные должности Российской Федерации, и лицами, замещающими государственные должности государственной службы и должности в органах местного самоуправления, сведений о доходах и имуществе» право знакомиться со всеми материалами своего личного дела и давать в письменном виде объяснение по указанным материалам, которое должно быть приобщено к личному делу, принадлежит лицам, замещающим государственные должности РФ.

Работник вправе приглашать по своему выбору медицинского специалиста  при осуществлении своего права  на полную информацию о своих персональных данных медицинского характера (ст. 89 ТК РФ). Законом не установлены формы привлечения медицинских специалистов к участию в ознакомлении с медицинскими данными, касающимися непосредственно самого работника. Поэтому представляется, что участие специалиста может осуществляться на основе простой формы доверенности, выдаваемой ему работником. Кроме того, предусмотренное ст. 89 ТК РФ право работника на получение копий любой записи, в которой содержатся его персональные данные, позволяет ему обратиться за помощью к медицинским специалистам путем представления им копии медицинских данных, выданных работодателем.

Ограничение доступа  граждан к информации о них  допустимо лишь на основаниях, предусмотренных  федеральными законами.

В случае если в персональных данных работника имеются неточности (например, ошибочные, неполные, измененные данные, сведения о работнике, не соответствующие действительности), работник имеет право потребовать исключить такие данные или исправить их, а также известить всех лиц, которым ранее были сообщены неверные или неполные персональные данные работника. При наличии оснований работодатель по требованию работника должен устранить имеющиеся в персональных данных работника недостатки и известить обо всех произведенных в них исключениях, исправлениях и дополнениях всех лиц, которым ранее были сообщены неверные или неполные персональные данные работника.

По-иному обстоит дело с так называемыми «оценочными» сведениями, составляющими персональные данные работника (например, сведения, содержащиеся в характеристике работника). Работник вправе изложить свою субъективную точку зрения относительно тех или иных сведений оценочного характера в соответствующем заявлении, адресованном работодателю. Требовать исправления персональных данных оценочного характера работник не вправе.

Работнику гарантирована защита его субъективных прав от неправомерных действий или бездействия работодателя при обработке и защите персональных данных работника.

Защита субъективных прав работника, связанная с неправомерными действиями (бездействием) работодателя, должна осуществляться путем подачи соответствующей жалобы в суд на действия государственных органов, общественных организаций и должностных лиц, нарушающих права и свободы граждан. Работник вправе определять своих представителей для защиты своих персональных данных любыми способами, в том числе и путем подачи жалобы в суд общей юрисдикции.

 

Глава 3 Ответственность за нарушение законодательства о защите персональных данных работника

3.1 Дисциплинарная ответственность за нарушение норм, регулирующих обработку и защиту персональных данных работника

 

На лицо, ненадлежащим образом относящееся  к хранению и сбережению подобных сведений, может быть наложено дисциплинарное взыскание. Возможно наложение дисциплинарного  взыскания на лицо, обязанное должным  образом хранить и беречь информацию, касающуюся персональных данных работника, но в результате ненадлежащего хранения допустившее ее порчу или утрату.

Дисциплинарная ответственность  предусмотрена трудовым законодательством (ст. 192-195 ТК РФ). За совершение дисциплинарного проступка, т. е. неисполнение или ненадлежащее исполнение работником по его вине возложенных на него трудовых обязанностей (в т. ч. обязанности соблюдения установленного порядка работы со сведениями конфиденциального характера), работодатель вправе применить одно из предусмотренных ст. 192 ТК РФ дисциплинарных взысканий в порядке, установленном ст. 193 ТК РФ.