РКН Аудит
Работодатель может обрабатывать необходимые для трудовых отношений персональные данные без отдельного согласия, если основание даёт закон или необходимость исполнения трудового договора. Но это не разрешение собирать любые сведения или передавать их кому угодно. Нужно соблюдать одновременно главу 14 ТК РФ и 152-ФЗ: определить цели, ограничить доступ, оформить порядок обработки, проверить обязанность уведомления Роскомнадзора и установить сроки хранения. Увольнение не означает немедленного уничтожения всего кадрового досье.
Какие сведения о сотруднике можно собирать?
Начните с цели обработки. Статья 86 ТК РФ допускает её для соблюдения законодательства, содействия трудоустройству, образованию и продвижению работника, обеспечения его безопасности, контроля количества и качества работы, сохранности имущества. По статье 5 152-ФЗ состав и объём данных должны соответствовать конкретной заранее определённой цели и не быть избыточными. Необходимость каждого поля анкеты и каждой копии документа оценивают отдельно.
По общему правилу данные получают у самого работника. Если получить их возможно только у третьей стороны, работника заранее уведомляют и получают его письменное согласие. Ему сообщают цели, предполагаемые источники и способы получения, характер сведений и последствия отказа.
Статья 10 152-ФЗ ограничивает обработку специальных категорий данных, включая сведения о здоровье. Она предусматривает исключения, в том числе для обработки в соответствии с трудовым законодательством, но не разрешает собирать медицинскую историю «на всякий случай». По статье 88 ТК РФ сведения о здоровье можно запрашивать лишь в части возможности выполнять трудовую функцию. Сведения о членстве в общественных объединениях и профсоюзной деятельности обрабатывают только в предусмотренных законом случаях. Решение, затрагивающее интересы работника, нельзя основывать исключительно на данных, полученных автоматизированной обработкой или электронным получением.
Когда нужно согласие?
Статья 6 152-ФЗ допускает обработку, необходимую для выполнения законных обязанностей оператора или исполнения договора с субъектом. Универсальное согласие «на все кадровые действия» не заменяет проверки основания для каждой операции.
| Операция | Что проверить |
|---|---|
| Выполнение обязанности по закону | Какие именно сведения необходимы для этой обязанности |
| Исполнение трудового договора | Необходима ли обработка для договора, а не просто удобна работодателю |
| Получение сведений у третьей стороны | Предварительное информирование и письменное согласие по статье 86 ТК РФ |
| Передача внешнему получателю | Письменное согласие либо конкретное предусмотренное законом исключение по статье 88 ТК РФ |
| Дополнительное использование данных | Самостоятельные цель и правовое основание; трудовой договор не покрывает всё автоматически |
Если основанием служит согласие, по статье 9 152-ФЗ оно должно быть свободным, конкретным, предметным, информированным, сознательным и однозначным. Его оформляют отдельно от других подписываемых или подтверждаемых документов. Доказать наличие согласия или иного основания должен работодатель.
Когда требуется именно письменное согласие, его содержание сверяют с частью 4 статьи 9: данные работника и оператора, цель, перечень данных и действий с ними, способы обработки, срок действия, способ отзыва и подпись; при участии представителя или обработчика по поручению — дополнительные сведения о них. Электронный эквивалент письменного согласия подписывают электронной подписью в соответствии с законом: обычная галочка не становится такой заменой автоматически. Подробнее — в материале об электронном согласии.
Отзыв согласия не прекращает обработку, для которой сохраняется самостоятельное законное основание, например обязательное хранение документа. Порядок действий разобран в материале о последствиях отзыва согласия.
Какие документы и меры защиты нужны?
По статье 87 ТК РФ работодатель устанавливает порядок хранения и использования данных с соблюдением закона. Статья 18.1 152-ФЗ дополняет требования к организации обработки.
- Локальный порядок. Установите правила получения, использования, доступа, передачи, хранения и уничтожения данных. Локальные акты работодателя-юрлица должны определять для каждой цели категории данных и субъектов, способы и сроки обработки и хранения, порядок уничтожения, а также процедуры предупреждения и устранения нарушений.
- Ознакомление. Работников и их представителей знакомят под подпись с документами о порядке обработки и их правах и обязанностях. Сотрудников, непосредственно обрабатывающих данные, знакомят с применимыми требованиями и локальными актами и/или обучают.
- Публичная политика. Обеспечьте неограниченный доступ к политике обработки и сведениям о реализуемых требованиях защиты. Если данные собираются через интернет, разместите их в соответствующей сети, в том числе на страницах сайта, через которые идёт сбор. Внутреннее положение не заменяет публичную политику.
- Ответственный. Работодатель-юрлицо назначает ответственного за организацию обработки. Его задачи описаны в статье 22.1 152-ФЗ. Эту норму нельзя автоматически превращать в обязанность ИП назначить отдельного сотрудника.
- Контроль и защита. Организуйте внутренний контроль и/или аудит, оценку возможного вреда и необходимые меры безопасности.
По статье 7 152-ФЗ лица с доступом не вправе раскрывать данные третьим лицам без согласия, если федеральный закон не предусматривает иное. Статья 19 152-ФЗ требует правовых, организационных и технических мер защиты. В их числе — правила доступа, учёт действий в информационной системе, обнаружение несанкционированного доступа и контроль защиты. Конкретный набор зависит от применимых требований и используемых систем. По ТК РФ защиту данных работодатель обеспечивает за свой счёт.
Нужно ли уведомлять Роскомнадзор?
Кадровая обработка сама по себе не освобождает от уведомления. По статье 22 152-ФЗ оператор уведомляет Роскомнадзор до начала обработки, если не подпадает под исключение. Среди действующих исключений — обработка исключительно без средств автоматизации, обработка данных в определённых государственных информационных системах безопасности и общественного порядка, а также предусмотренная законом обработка для транспортной безопасности. Бумажное личное дело не делает всю обработку неавтоматизированной, если используется и кадровая информационная система.
- До начала обработки направляют первоначальное уведомление. Универсального срока «за 30 дней до приёма сотрудника» закон не устанавливает.
- Не позднее 15-го числа месяца, следующего за месяцем изменений, сообщают об изменившихся сведениях уведомления.
- В течение 10 рабочих дней после прекращения обработки сообщают о её прекращении.
Тридцать дней на внесение сведений в реестр — срок для Роскомнадзора, не отсрочка оператору. По каждой цели обработки в уведомлении указывают категории данных и субъектов, правовое основание, действия и способы обработки. Увольнение одного человека не означает прекращения всей обработки, особенно если остаётся архив. Подробнее — в материале о сроках уведомления Роскомнадзора.
Кому можно передавать данные работников?
Статья 88 ТК РФ различает внутреннюю передачу, передачу представителям работников и внешним получателям.
| Получатель | Условия |
|---|---|
| Уполномоченные сотрудники внутри организации или у одного ИП | Передача по локальному акту, с которым работник ознакомлен под подпись; доступ только к сведениям, необходимым для конкретных функций |
| Представители работников | Передача в установленном законом порядке и только в объёме, необходимом для их функций |
| Внешний получатель | Письменное согласие, кроме предупреждения угрозы жизни и здоровью работника и иных предусмотренных законом случаев |
| Подрядчик, обрабатывающий данные по поручению | Помимо проверки основания передачи — поручение с условиями части 3 статьи 6 152-ФЗ |
Другая компания той же группы не становится внутренним подразделением из-за общего собственника. Для передачи в коммерческих целях ТК РФ прямо требует письменного согласия. Получателей предупреждают, что данные можно использовать только для сообщённых целей, и требуют подтверждения соблюдения этого правила; статья 88 отдельно оговаривает исключение для обмена в установленном законом порядке.
Если обработка поручена внешней бухгалтерии или кадровому подрядчику, в поручении определяют данные, операции, цели, конфиденциальность, безопасность, требования защиты, предоставление подтверждающих документов и уведомление работодателя об инцидентах. Договор с подрядчиком сам по себе не заменяет необходимое согласие работника и не снимает ответственности с работодателя.
Как отвечать на обращения работника?
Статья 89 ТК РФ даёт работнику право знать об обработке, бесплатно знакомиться со своими данными и получать копии записей, содержащих его персональные данные, кроме предусмотренных законом случаев. Работник может требовать исправления или исключения данных, дополнить оценочные сведения своей позицией и обжаловать неправомерные действия работодателя.
Для обращений о персональных данных применяются, в частности, сроки статьи 20 152-ФЗ и статьи 21:
| Ситуация | Срок и действие |
|---|---|
| Обращение за информацией и ознакомлением | Ознакомление при обращении; при получении запроса — в течение 10 рабочих дней |
| Мотивированный письменный отказ на законном основании | Не более 10 рабочих дней со дня обращения или получения запроса |
| Подтверждены неполнота, неточность или неактуальность | Исправление в течение 7 рабочих дней после предоставления подтверждающих сведений |
| Подтверждены незаконное получение или ненужность данных для цели | Уничтожение в течение 7 рабочих дней после предоставления подтверждений |
| Требование прекратить обработку | Не более 10 рабочих дней, кроме предусмотренных законом исключений |
Указанные десятидневные сроки допускают продление максимум на пять рабочих дней при мотивированном уведомлении. Семидневные сроки этим правилом не продлеваются. При выявлении неправомерной обработки данные блокируют на время проверки; при выявлении неточности — также блокируют, если это не нарушает права и законные интересы работника или третьих лиц.
Не смешивайте запрос о доступе к персональным данным с заявлением о выдаче документов, связанных с работой. По статье 62 ТК РФ работодатель по письменному заявлению работника выдаёт копии документов, связанных с работой, не позднее трёх рабочих дней со дня подачи заявления. Копии должны быть надлежащим образом заверены и предоставлены бесплатно. Этот срок не заменяют сроками ответа на запрос о персональных данных по статье 20 152-ФЗ.
Сколько хранить данные после увольнения?
Единого срока для всего «личного дела» и всех кадровых баз нет. Отделите документы по личному составу от других данных и определите срок для каждого вида документа по действующему архивному перечню. Раздел 8.1 перечня, утверждённого приказом Росархива № 236, устанавливает разные сроки для кадровых документов; применять общее правило 50/75 лет ко всем бумагам и файлам нельзя.
Статья 22.1 закона об архивном деле устанавливает общее правило для документов по личному составу: законченные делопроизводством до 1 января 2003 года хранят 75 лет, после 1 января 2003 года — 50 лет. Значима дата завершения делопроизводства, а не просто дата увольнения. Но если действующий перечень архивных документов устанавливает для конкретного вида иной срок, общее правило не применяется. Для документов о государственной службе, не являющейся государственной гражданской службой, статья предусматривает особый срок. Для документов источников комплектования государственных и муниципальных архивов после общего срока проводится экспертиза ценности.
| Что хранится | Как определить срок |
|---|---|
| Трудовые договоры и соглашения об их изменении или расторжении; личные карточки и личные дела работников | По разделу 8.1 перечня Росархива — 50/75 лет; выбор срока соотносится с датой завершения делопроизводства по статье 22.1 закона об архивном деле |
| Приказы о приёме, переводе, увольнении, оплате труда | 50/75 лет; приказы об ежегодно оплачиваемых отпусках — 5 лет, но об отпусках работников с вредными и (или) опасными условиями труда — 50/75 лет; о дисциплинарных взысканиях — 3 года |
| Документы лиц, не принятых на работу (п. 438 «б» перечня) | 1 год |
| Документы претендентов, не допущенных к конкурсу или не прошедших конкурсный отбор (п. 438 «а» перечня) | 3 года |
| Согласие на обработку персональных данных | 3 года после окончания действия согласия или его отзыва, если иной срок не предусмотрен федеральным законом или договором |
| Другие персональные данные | Проверить цель и основание дальнейшей обработки: по статье 5 152-ФЗ их не хранят дольше необходимого, если иной срок не установлен законом или соответствующим договором |
Для внутреннего учёта полезна таблица с видом документа, основанием, сроком и способом его исчисления, местом хранения и действием после истечения срока. Это рабочий инструмент, а не дополнительная установленная законом форма. Примеры в таблице не заменяют проверки срока для каждого вида документа: перечень предусматривает и другие сроки и примечания к отдельным видам документов.
Если цель обработки достигнута и нет оснований продолжать её, статья 21 152-ФЗ предусматривает прекращение обработки и уничтожение данных не позднее 30 дней с установленными законом исключениями. При отзыве согласия действует срок до 30 дней для прекращения обработки и, если сохранение больше не требуется, уничтожения. Если уничтожить данные в установленные сроки невозможно, их блокируют и обеспечивают уничтожение не позднее шести месяцев, если федеральный закон не устанавливает иной срок. Обязательное архивное хранение нельзя прекратить только из-за увольнения или отзыва согласия.
Что делать при инциденте с данными?
Ограничьте скомпрометированный доступ, определите затронутые данные и организуйте внутреннее расследование. По части 3.1 статьи 21 152-ФЗ при установлении неправомерной или случайной передачи, предоставления, распространения либо доступа, повлёкших нарушение прав субъектов, Роскомнадзор уведомляют дважды:
| Срок с момента выявления инцидента | Что сообщают |
|---|---|
| В течение 24 часов | Об инциденте, предполагаемых причинах и вреде, принятых мерах и уполномоченном контактном лице |
| В течение 72 часов | О результатах внутреннего расследования и лицах, чьи действия стали причиной инцидента, при наличии |
Сроки отсчитываются от выявления инцидента оператором, Роскомнадзором или иным заинтересованным лицом. Семьдесят два часа — не дополнительный срок после первого уведомления. Отдельно статья 21 устанавливает сроки прекращения неправомерной обработки и уничтожения данных, если обеспечить её правомерность невозможно. Часть 12 статьи 19 предусматривает взаимодействие с ГосСОПКА при компьютерных инцидентах с неправомерной передачей данных; уведомление Роскомнадзора его не подменяет. О признаках инцидента и первых действиях — в материале о том, как обнаружить утечку персональных данных.
Как провести самопроверку?
Проследите путь данных от получения у работника до архива и уничтожения. На каждом этапе сопоставьте фактические действия с целью, основанием, локальными документами, кругом доступа и сроками. Для организации работы пригодится пошаговая инструкция по аудиту обработки данных.
РКН ОК проверяет публично доступные страницы сайта и признаки нарушений на них, а наличие записи в реестре операторов — по ИНН. Есть бесплатная первичная проверка в пределах бесплатной квоты. Сервис не отправляет формы, не подаёт уведомление за работодателя, не проверяет кадровую систему, CRM, внутренние базы, фактическое уничтожение данных или юридическую корректность рекламной кампании. Проверка сайта не гарантирует соответствия всей организации 152-ФЗ.