Персональные данные в работе кадровой службы. Изменения в законах

Персональные данные в работе кадровой службы
Статьи по теме в журнале «Кадровое дело»:
Как теперь передавать персданные работника. С 1 марта новые правила
Как уведомить Роскомнадзор о работе с персональными данными

Персональные данные
Любая информация, которая прямо или косвенно относится к определенному физическому лицу – субъекту персональных данных
п. 1 ч. 1 ст. 3 Федерального закона
от 27.07.2006. № 152-ФЗ
«О персональных данных»

Персональные данные в работе кадрового специалиста
Личные документы сотрудника
паспорт;
трудовая книжка или сведения о трудовой деятельности: СТД-Р и СТД-ПФР;
СНИЛС или АДИ-РЕГ;
документы воинского учета: военный билет, временное удостоверение, приписное свидетельство, справка № 1/у;
документы об образовании и о квалификации;
справки об отсутствии судимости и отсутствии наказания за употребление наркотиков;
свидетельства: о рождении, браке, разводе и т. д.
Кадровые документы работодателя
трудовой договор и дополнительные соглашения;
личная карточка;
приказы о приеме, переводах и увольнении;
служебные, докладные записки и т.д.

Нельзя
хранить в личном деле
Копии личных документов сотрудника
паспорта;
трудовой книжки;
СНИЛС и АДИ-РЕГ;
документов воинского учета;
документов об образовании и о квалификации;
свидетельств: о рождении, браке, разводе и т. д.
постановление Пятнадцатого арбитражного апелляционного суда от 14.03.2014 № А53-12557/2013;
постановление Пятнадцатого арбитражного апелляционного суда от 14.03.2014 № А53-12557/2013;
постановление Федерального арбитражного суда Северо-Кавказского округа от 11.03.2014 № А53-10287/2013

Копии в личных делах
Исключение закон сделал для государственных и муниципальных служащих. В их личные дела работодатели обязаны включать копии документов. Например, копии паспортов, трудовой книжки, документов об образовании и т. д.
Положение,
утв. Указом Президента от 30.05.2005 № 609

Обязательные документы
по обработке персональных данных
в организации
Скачать
Уведомление о начале обработки персданных
https://e.kdelo.ru/876007
Положение о работе с персданными
Политику защиты и обработки персданных
https://e.kdelo.ru/881715
Собрать
Согласие на обработку и передачу персданных
https://e.kdelo.ru/875984

Обязательные документы
Положение
Политика

Обязательные документы
Согласие на обработку
Согласие на распространение

Обязательные документы
Приказ о назначении ответственного

Обязательные документы
Обязательство о неразглашении
Допсоглашение о допуске

Обязательные документы
Уведомление Роскомнадзора

Категории персональных данных
Общие:
фамилия, имя, отчество;
год, месяц, дата рождения;
место рождения;
адрес;
семейное положение;
имущественное положение;
образование, профессия;
доходы;
Специальные:
расовая, национальная принадлежности;
политические взгляды;
религиозные или философские убеждения;
состояния здоровья, интимной жизни;
сведения о судимости
Биометрические:
ДНК, радужная оболочка глаз;
дактилоскопическая информация;
фото, голос

Категории персональных данных
Можно обрабатывать
фамилия, имя, отчество;
год, месяц, дата рождения;
место рождения;
адрес;
семейное положение;
имущественное положение;
образование, профессия;
состояния здоровья;
сведения о судимости;
фото, голос
Нельзя обрабатывать
социальное положение;
доходы;
расовая, национальная принадлежности;
политические взгляды;
религиозные или философские убеждения;
состояния интимной жизни;
ДНК, радужная оболочка глаз;
дактилоскопическая информация

Допуск
Регламент допуска

Передача третьим лицам

Передача
Согласие на распространение

Xранение и уничтожение

Xранение персональных данных
На бумаге
В сейфах или металлических несгораемых шкафах с замками или в специально оборудованных помещениях
Правила,
утв. приказом Минкультуры от 31.03.2015 № 526
В электронном виде
Так, чтобы посторонние лица не могли получить доступ к персональным данным
постановление Правительства от 01.11.2012 № 1119

Уничтожение персональных данных
После того, как истечет нормативный срок хранения (приказ Росархива от 20.12.2019 № 236)
В течение 30 дней после того, как достигли цели обработки (ч. 4 ст. 21 Федерального закона от 27.07.2006 № 152-ФЗ)
Специальные категории – немедленно после достижения цели обработки (ч. 4 ст. 10 Федерального закона от 27.07.2006 № 152-ФЗ)

Ответственность
Бесплатный кадровый аудитор по теме
https://e.kdelo.ru/881715

Штрафы
С 27 марта 2021 года увеличили в 10 раз

Обрабатываете персданные вне закона или не в тех целях, для которых их собирали
Работодателя оштрафуют на сумму до 100 000 руб., если он обрабатывает персданные в целях, которые отличаются от тех, что есть в законе, ч. 1 ст. 13.11 КоАП. До 27 марта максимальный штраф был вдвое меньше и на первый раз можно было отделаться даже предупреждением. Теперь штрафа не избежать, а повторное нарушение обойдется компании до 300 000 руб., то есть в шесть раз дороже, чем раньше.
Обрабатывать персональные данные можно только в случаях, которые определяет закон. Для работодателя это два случая. Первый — обработка данных, которая необходима, чтобы выполнить условия договора с сотрудником: трудового, ученического, о материальной ответственности и т. д. Второй — выполнение обязанностей для достижения целей, которые установил закон. Это случаи, когда вы передаете персданные сотрудников, например, в ПФР, налоговую и военкоматы, п. 2, 5 ч. 1 ст. 6 Закона от 27.07.2006 № 152-ФЗ.

Обрабатываете персданные без согласия или с нарушением состава сведений в согласии
Новый штраф за обработку персданных без согласия или ошибки в нем вырос вдвое — до 150 000 руб. Появился штраф и за повторное нарушение — до 500 000 руб., ч. 2 ст. 13.11 КоАП. Вы вправе обрабатывать персданные работника и без его согласия, если действуете исключительно в рамках закона.
Однако лучше не рисковать и получать согласия у всех сотрудников сразу при приеме на работу. Поскольку даже номер личного мобильного телефона и адрес электронной почты сотрудника закон получать не требует, а значит, уже для этого понадобится согласие. При этом информация о номере телефона и электронной почте понадобится, чтобы заполнять личные карточки Т-2 или отправлять расчетные листки работникам.
Учтите, что штрафуют не только за то, что согласий на обработку персданных нет в принципе. Если в них не окажется обязательных сведений, компанию тоже оштрафуют — эти нарушения считаются равнозначными.

Не опубликовали политику обработки персданных на сайте организации
Штраф за то, что не опубликовали политику обработки персданных или опубликовали, но в закрытом доступе, тоже удвоили. Раньше можно было обойтись и предупреждением. Однако теперь за это — только штраф на сумму до 60 000 руб. по части 3 статьи 13.11 КоАП. Это нарушение обычно вводит в ступор работодателей, у которых нет официального сайта компании. Тогда возникает вопрос, где публиковать эту политику и зачем она вообще нужна. На самом деле все очень просто.
Утверждать политику обработки персональных данных должны только те работодатели, которые собирают персональные данные посетителей на своем официальном сайте. Например, если на сайте есть форма обратной связи или возможность регистрации. Поскольку в такой ситуации вы собираете как минимум имена и электронные адреса посетителей сайта, которые тоже относятся к персональным данным.

Сотруднику не предоставили информацию об обработке его персданных
Если не предоставите сотруднику информацию об обработке его персональных данных, теперь компанию оштрафуют на 80 000 руб., ч. 4 ст. 13.11 КоАП. Раньше можно было заплатить вдвое меньше или получить предупреждение.
За повторное нарушение отдельный штраф не установили.

Отказались уточнять, блокировать или уничтожать персданные
Максимальный штраф за то, что не услышали работника и отказались по его требованию уничтожать или блокировать его персданные, вырос больше чем в 10 раз, ч. 5 ст. 13.11 КоАП. Штраф за первое такое нарушение вырос вдвое — до 90 000 руб.
Если проверяющие в течение года поймают компанию на такой же ошибке, то заплатить придется уже 500 000 руб.

Не обеспечили сохранность персональных данных, и это привело к неправомерным действиям с ними
Если в результате того, что работодатель не обеспечил сохранность персональных данных на бумажных носителях, доступ к ним получили те, кто не имел права работать с персданными, а данные изменили, заблокировали, скопировали, предоставили, распространили или уничтожили, организацию ждет штраф до 100 000 руб. по части 6 статьи 13.11 КоАП. До изменений штраф был вдвое меньше.