Защита персональных данных работника

Персональные данные-
любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). (Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных» )

К персональным данным работника, в частности, относятся:
фамилия, имя, отчество, дата и место рождения, паспортные данные;
сведения об образовании, имеющихся навыках, повышении квалификации и профессиональной переподготовке, наличии ученых степеней и званий, научных трудов;
сведения о предыдущей трудовой деятельности;
информация о получаемом вознаграждении за труд и пр.

Обработка персональных данных –
любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных», ст.3

Работодатель при обработке персональных данных работника обязан соблюдать следующие основные требования:
1. Обработка персональных данных работника может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, получении образования и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества;
2. При определении объема и содержания обрабатываемых персональных данных работника работодатель должен руководствоваться Конституцией РФ, Трудовым кодексом РФ и иными федеральными законами;
3. Все персональные данные работника следует получать у него самого. Если персональные данные работника возможно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Работодатель должен сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение;
Ст.86 ТК РФ

4. Работодатель не имеет права получать и обрабатывать сведения о работнике, относящиеся в соответствии с законодательством Российской Федерации в области персональных данных к специальным категориям персональных данных, за исключением случаев, предусмотренных Трудовым кодексом РФ и другими федеральными законами;
5. Работодатель не имеет права получать и обрабатывать персональные данные работника о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных настоящим Кодексом или иными федеральными законами;
6. При принятии решений, затрагивающих интересы работника, работодатель не имеет права основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного получения;
Ст.86 ТК РФ

Работодатель при обработке персональных данных работника обязан соблюдать следующие основные требования:
7. Защита персональных данных работника от неправомерного их использования или утраты должна быть обеспечена работодателем за счет его средств в порядке, установленном Трудовым кодексом РФ и иными федеральными законами;
8. Работники и их представители должны быть ознакомлены под роспись с документами работодателя, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области;
9. Работники не должны отказываться от своих прав на сохранение и защиту тайны;
10. Работодатели, работники и их представители должны совместно вырабатывать меры защиты персональных данных работников.
Ст.86 ТК РФ

Защита персональных данных работника при их передаче

При передаче персональных данных работника работодатель должен соблюдать следующие основные требования:
не сообщать персональные данные работника третьей стороне без письменного согласия работника;
не сообщать персональные данные работника в коммерческих целях без его письменного согласия;
предупредить лиц, получающих персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено;
осуществлять передачу персональных данных работника в пределах одной организации, у одного индивидуального предпринимателя в соответствии с локальным нормативным актом, с которым работник должен быть ознакомлен под роспись;
Ст.88 ТК РФ

разрешать доступ к персональным данным работников только специально уполномоченным лицам;
не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции;
передавать персональные данные работника представителям работников в порядке, установленном Трудовым кодексом РФ и иными федеральными законами, и ограничивать эту информацию только теми персональными данными работника, которые необходимы для выполнения указанными представителями их функций.
Ст.88 ТК РФ

Права работников по защите своих персональных данных

В целях обеспечения защиты персональных данных работники имеют право на:
полную информацию об их персональных данных и обработке этих данных;
свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные работника;
определение своих представителей для защиты своих персональных данных;
доступ к медицинской документации, отражающей состояние их здоровья, с помощью медицинского работника по их выбору;
Ст.89 ТК РФ

требование об исключении или исправлении неверных или неполных персональных данных, а также данных, обработанных с нарушением требований Трудового кодекса РФ или иного федерального закона;
дополнение персональных данных оценочного характера заявлением, выражающим его собственную точку зрения;
требование об извещении работодателем всех лиц, которым ранее были сообщены неверные или неполные персональные данные работника, обо всех произведенных в них исключениях, исправлениях или дополнениях;
обжалование в суд любых неправомерных действий или бездействия работодателя при обработке и защите его персональных данных.
Ст.89 ТК РФ

Ответственность за нарушение требований о защите персональных данных работников

Судебная практика

Справки 2-НДФЛ – это персональные данные.
Организация уволила работника кадровой службы на основании пп. "в" п. 6 ст. 81 ТК РФ за грубое нарушение обязанностей: кадровик был уличен в разглашении персональных данных сотрудников, которые стали ему известны в связи с исполнением трудовых обязанностей.
Бывший работник обжаловал увольнение в суде, однако доказать незаконность действий работодателя не смог. Как установили судьи, работник кадровой службы учреждения направил в местную администрацию жалобу на уровень заработной платы. В качестве подтверждения несправедливости начислений он направил справки 2-НДФЛ некоторых сотрудников, у которых произошел резкий рост заработной платы. Кадровый работник посчитал, что закон "О персональных данных" он не нарушил, поскольку местная администрация является учредителем организации, следовательно, сама имеет доступ к данным о доходах сотрудников.
Однако Самарский областной суд апелляционным определением от 10.12.2019 по делу № 33-14999/2019 признал, что данные о заработной плате сотрудников – это персональная информация, ее передача администрации нарушает законодательство о персональных данных, поскольку фактически происходит передача третьим лицам.
Апелляционное определение Самарского областного суда от 10.12.2019 по делу № 33-14999/2019

Персональные данные в системе электронного документооборота

Судебная коллегия по гражданским делам Московского городского суда в марте 2018 года вынесла решение по делу № 33-8777, в котором бывший сотрудник Министерства юстиции РФ предъявил претензию к бывшему работодателю в связи с тем, что тот разместил в своей системе электронного документооборота его заявления и ответы на них.

Апелляционное определение № 33-2405/2013 от 3 апреля 2013 г. по делу № 33-2405/2013
Из материалов дела усматривается, что истица обратилась с письменным заявлением в Управление здравоохранения администрации городского округа с просьбой предоставить сведения о том, кто (фамилия, имя, отчество) занимает должность врача-дерматовенеролога в медицинской комиссии, утвержденной Управлением здравоохранения администрации городского округа, для проведения медицинского освидетельствования граждан, подлежащих призыву на военную службу на период осеннего призыва в муниципальном отделе военного комиссариата.