Как хранить персональные данные работников

Хранение персональных данных: что такое персональные данные, законодательные обязательства, ведение личных дел, электронная база данных. Хранение и обработка персональных данных сотрудников. Ответственность работодателя за разглашение персональных данных работника. Законодательная база в 2019 году

Документы для обработки данных сотрудника

Чтобы работодатель мог работать с ПД, обрабатывать их, необходим определенный перечень документов. Одним из них является согласие на обработку персональных данных. Помимо этого оформляют обязательство о неразглашении данных, а также уведомление в их получении от третьей стороны (Читайте также статью Документы для оформления нового сотрудника на работу).

Где разрешается хранить?

Итак, начнем с того, что место нахождения персональных данных зависит от их формы. Различают хранение:

• на бумажном носителе;
• на электронном носителе.

Практика показывает, что большинство ответственных работодателей дублируют информацию, храня документы как в бумажном варианте, так и в электронном. В том и другом случае информация храниться у работодателя, как правило, в отделе кадров и в бухгалтерии. Они запираются на ключ в пожароустойчивых сейфах. Ключ находится у начальника отдела кадров или главного бухгалтера.

Для бумаг бывших работников, как правило, выделяется архивная комната для длительного хранения. В архиве документы хранятся в алфавитном порядке. Указывается срок сдачи в архив и срок окончания хранения. После истечения установленного срока, документы могут быть уничтожены. Электронную информацию хранят в локальной компьютерной сети.

ВАЖНО! Электронную версию документов нужно обеспечить надежной системой паролей, доступ к которым должен быть у ограниченного круга лиц.

Как правило, на случай сбоя или утери основной базы, создают резервную копию для архива, которую размещают на съемном электронном носителе информации.

Физическое хранение персональных данных

Многие специалисты отдела кадров ведут личные дела работников традиционным способом и не желают от него отказываться.

Особенности этого заключаются в том, что вся информация о каждом работнике, представленная оригиналами и копиями документов накапливается в специально оформленной папке. При этом единых правил оформления личных дел в коммерческих организациях не существует.

Преимущества ведения личных дел:

• все данные о сотруднике находятся в одном месте;
• возможность четкой систематизации;
• быстрый поиск информации о конкретном человеке.

Недостатки хранения персональной информации с комплектованием личных дел:

• высокая трудоемкость (требуется регламент, подшивка документов, опись, сверка, архивирование);
• требуются дополнительные ресурсы (сейфы, отдельные помещения и т.д.);
• необходимы навыки работы с личными делами.

Часто персональная информация о работниках хранится на бумажных носителях, расположенных в разных тематических папках в соответствии с номенклатурой организации.

Возможность проверить отчет ПФР предоставляемый в 2014 г. по новой форме расчета для начисленных и уплаченных взносов обязательного пенсионного страхования в ПФР, и страховым взносам в Фонд обязательного мед. страхования, имеется в программе CheckXML.

Все документы, касающиеся работников, одного назначения: трудовые договоры, документы анкетно-биографического характера, договоры материальной ответственности и т.д. размещаются в отдельные папки и выстраиваются в алфавитном порядке или по регистрационным номерам.

В сравнении с оформлением личных дел, такой способ хранения данных о работниках несет в себе меньше трудозатрат и не требует особых навыков от кадровика.

Однако раздельное хранение имеет и свои недостатки:

• поиск информации о сотруднике занимает много времени;
• существует более высокий риск раскрытия конфиденциальной информации.

Читайте также: Персональные данные

Если вы оператор-коммерсант

В случае если вы не только работодатель, но еще и организация, которая в силу специфики коммерческой деятельности или вида деятельности получаете и обрабатываете персональные данные физических лиц, не связанных с вами трудовыми или гражданско-правовыми отношениями, то помимо организационно-технических мер, приведенных выше, также следует:

• разработать и утвердить локальный нормативный акт, который определит не только способы обработки и условия хранения полученных персональных данных, но и цели, для которых вам таковые необходимы; при этом отдельное внимание надо уделить уничтожению полученной информации и обезличиванию;
• при разработке методов и способов защиты персональных данных, обрабатываемых в информационных системах, придется особенно активно поработать с классификацией информационных систем, исходя из состава персональных данных, к которым такой оператор получает доступ, основываясь на приказе ФСТЭК РФ № 55, ФСБ РФ № 86, Мининформсвязи РФ № 20 от 13 февраля 2008 г. «Об утверждении Порядка проведения классификации информационных систем персональных данных»;
• в случае если при обеспечении защиты персональных данных в информационных системах будут применяться средства защиты с использованием шифрования (криптографии), то необходимо учитывать, что на основании статьи 17 Закона «О лицензировании отдельных видов деятельности» от 8 августа 2001 г. № 128-ФЗ ряд видов деятельности, связанных с обеспечением конфиденциальности информации, подлежат лицензированию;
• в статье 22 закона «О персональных данных» закреплена обязанность за каждым оператором, который выступает в качестве такового, не только в связи с трудовыми отношениями, по уведомлению Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзора) о своем намерении осуществлять обработку персональных данных до начала их обработки. После такого уведомления в течение 30 дней оператор будет включен в реестр операторов. Однако этим же законом установлены случаи, в которых уведомление о предполагаемой обработке персональных данных не требуется.

В дополнение ко всем вышеизложенным инструкциям важно запомнить, что на каждом предприятии, как правило, существует входная система контроля доступа лиц на территорию организации. Обычно для оформления пропуска сотрудники службы охраны запрашивают документ, удостоверяющий личность визитера, а следовательно, начинают обработку персональных данных такового, внося соответствующею информацию в журнал учета посетителей. Для легализации этого процесса, исходя из приведенных выше нормативно-правовых актов, необходимо также и для таких случаев работы с персональными данными определить способы обработки, хранения и уничтожения полученной информации в соответствующем ЛНА (например: Положение о службе безопасности, Положение о контрольно-пропускном режиме и т. п.).

Организация учета и хранения персональных данных

Работодатель должен обеспечивать защиту персональных данных работника от неправомерного их использования или утраты за счет своих средств (п. 7 ст. 86 ТК РФ).

Разберем пошагово действия работодателя по учету и хранению персональных данных в организации.

Шаг 1. Работодатель должен издать локальный акт, который будет регулировать порядок хранения и использования персональных данных. Таким актом обычно является Положение о персональных данных работников, с которым работники должны быть ознакомлены под подпись (п. 8 ст. 86 ТК РФ). Ознакомиться с Положением о персональных данных, как и с остальными локальными нормативными актами, работник должен до подписания трудового договора (ст. 68 ТК РФ). Ознакомить работника с документом путем рассылки его по электронной почте нельзя, это не будет считаться ознакомлением под подпись. При отсутствии подписи работника работодатель не сможет доказать, что работник был ознакомлен с данным документом.

Положение о персональных данных, как и любой другой локальный нормативный акт, издается и утверждается приказом, который подписывает руководитель организации или иное уполномоченное на это лицо.

В случае проверки организации, проверяющие органы могут запросить данный документ и проверить, ознакомлены ли с ним работники. Отсутствие такого документа или неознакомление работников с ним может являться основанием для привлечения работодателя к ответственности согласно части 1 статьи КоАП РФ, а в случае совершения аналогичного нарушения повторно — по части 2 статьи КоАП РФ. Такой вывод также подтверждается судебной практикой (Постановление ФАС Московского округа от № КА-А40/10220-06 № А40-20745/06-148-194).

Шаг 2. Работодатель утверждает документ, содержащий перечень персональных данных, которые используются в деятельности организации. В этот документ включаются все сведения, которые работник письменно сообщает о себе при поступлении на работу, а также используемые в дальнейшем при оформлении кадровой документации.

Помимо этого в перечне должны быть указаны документы, содержащие те сведения о сотрудниках, которые организация представляет в различные государственные органы (налоговую и трудовую инспекции, органы статистики).

Шаг 3. Работодатель приказом должен назначить ответственных за работу с персональными данными и ответственных за обеспечение безопасности персональных данных. Таким ответственным может быть как конкретное лицо, так и подразделение. В последнем случае личную ответственность несет руководитель такого подразделения. Этот приказ необходимо довести до сведения всех указанных в нем сотрудников, что должно подтверждаться их подписью.

Шаг 4. На случай проверки во избежание споров с проверяющими лучше подготовить следующие документы:

• заявления работников о согласии на обработку персональных данных;
• журналы учета персональных данных, их выдачи и передачи другим лицам и представителям различных организаций, государственным органам;
• журнал проверок наличия документов, содержащих персональные данные работника.

Шаг 5. Приказом руководителя организации установить перечень мест хранения документации, являющейся носителем персональных данных работников, а также перечень мер, необходимых для обеспечения сохранности персональных данных, порядок их принятия. Все документы, содержащие персональные данные работников, такие как личные дела, картотеки, учетные журналы, следует хранить в специально оборудованных шкафах или сейфах, которые запираются и опечатываются. Трудовые книжки работников нужно хранить в сейфе отдельно от личных дел.

В каких документах содержатся персональные данные

При трудоустройстве работник предоставляет работодателю определенные документы. Каждый из этих документов содержит персональные данные (ПД) работника. Как правило при приеме на работу требуются следующие документы:

• Паспорт;
• СНИЛС;
• Трудовая книжка;
• Военный билет;
• Диплом.

В некоторых случаях работодатель запрашивает и иные документы, но только если это установлено действующим законодательством. Такими документами являются медкнижка, ИНН и справка 2-НДФЛ. И каждый из этих документов содержит персональные сведения о принимаемом сотруднике. Специального перечня, к которому можно отнести ПД нет. Под ними понимают такие сведения, по которым работник может быть идентифицирован. То есть это, ФИО, адрес проживания, данные паспорта, квалификация, фото и видео записи с работником и т.д.

Защита персональных данных

Для того, чтобы обеспечить защиту данных работника необходимо выполнить следующее:

1. Разработать положение об обработке ПД, в котором будут закреплены: порядок получения данных, их обработка и хранение;
2. Руководитель компании назначает сотрудника, ответственного за работу с ПД. Например, кадровика, который работает с личными делами. От него потребуется получить согласие каждого из работников, вносить данные в карточки и т.д.;
3. Разработать бланк согласия на обработку ПД;
4. Предоставить физлицу информацию (по его запросу), касающуюся обработки его ПД. Например, подтверждение, что данные прошли обработку, цели и способы обработки данных.

Готовимся к худшему – надеемся на лучшее

Прежде чем перейти к «подготовительной» работе, необходимо определить, к какой категории относится ваша организация:

• исключительно оператор, обрабатывающий персональные данные в целях исполнения требований трудового законодательства (то есть в процессе трудовых отношений между работником и работодателем),и/или:
• оператор, обрабатывающий персональные данные в ходе ведения обычной коммерческой деятельности (например: операторы сотовой связи; организации, проводящие анкетирование потребителей (физических лиц) в рекламных целях и/или в целях предоставления скидок и т. п.).

Далее, с учетом правового положения вашей организации и руководствуясь действующим законодательством, необходимо принять следующие меры.

Размещение персональных данных на сайте

Для некоторых организаций размещение в интернете персональной информации по сотрудникам является обязательным. К примеру, медучреждения должны помещать на своих сайтах информацию о своих сотрудниках, включая их образование и квалификацию. То же правило действует и для образовательных учреждений. Они обязаны размещать информацию по учителям и преподавателям. В этом случае согласие на обработку данных от сотрудника не требуется, так как размещение информации предусмотрено законом.

Согласие на обработку данных сотрудника

Согласие на обработку данных работодатель разрабатывает самостоятельно. При этом в согласии указываются те действия, которые компания вправе совершать с ПД сотрудника (закон №152-ФЗ). Подписать согласие работник должен еще до того, как подпишет трудовой договор. Согласие должно быть добровольным со стороны работника.

Важно! Подписывая Согласие работник также подтверждает, что он не против обработки своих данных.

Когда согласие на обработку данных от работника не требуется

Если работодатель передает в банк данные работника с целью начисления заработной платы, то сделать это можно и без соответствующего согласия. Например, если:

• Соглашение на выпуск карты сотруднику напрямую заключается с работником и в этом соглашении содержатся условия, предусматривающие передачу данных;
• На работодателя оформлена доверенность, на основании которой он имеет право представлять интересы сотрудника по заключению договора с банком;
• Оплата труда путем перевода на банковскую карту предусмотрена в коллективном договоре.

В год грядущий – во всеоружии

На протяжении последних шести лет законодатель неоднократно обращал внимание на вопрос защиты персональных данных граждан России. За это время был принят закон «О персональных данных», внесены поправки в Трудовой кодекс РФ, регулирующий вопрос защиты персональных данных работника, введен ряд подзаконных нормативных актов, которыми каждый участник отношений, возникающих при передаче персональных данных, должен руководствоваться.

Повышенный интерес государства к нормативному обеспечению защиты персональных данных обусловлен большим количеством случаев мошенничества со стороны недобросовестных операторов, работающих с персональными данными и допустивших утечку этой информации и последующее ее незаконное использование преступниками.

Таким образом, в продолжение «линии защиты» в декабре 2009 года был утвержден Административный регламент проведения проверок Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций при осуществлении федерального государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства Российской Федерации (приказ Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 1 декабря 2009 г. № 630), который вступил в силу 26 марта 2010 года.

Принятие и введение в действие указанного выше Регламента фактически означает готовность государства перейти от нормативного регламентирования вопросов защиты персональных данных к активным «военным» действиям, а именно к проведению проверок в целях выявления нарушений требований действующего законодательства и применения мер ответственности к операторам.

Общие правила

Очень важно соблюдать правила хранения, так как в противном случае халатность руководства может привести к нарушению конституционного права граждан на конфиденциальность персонифицированной информации. Статьей 87 ТК РФ установлено, что порядок хранения персональных данных работника должен быть разработан и утвержден работодателями.

Статья 87 ТК РФ. Хранение и использование персональных данных работников

Порядок хранения и использования персональных данных работников устанавливается работодателем с соблюдением требований настоящего Кодекса и иных федеральных законов.

При этом они должны учитывать все требования, которые установлены ТК и другими федеральными законами. Основные сроки содержания документов, отражающих информацию о работниках, установлены Приказом Минкультуры 2010 года № 558.

Запомните:

• Справки, докладные, служебные записки, копии приказов, выписки из приказов, заявления, не вошедшие в состав личных дел ХРАНЯТ 5 ЛЕТ.
• Сводные расчетные ведомости, расчетные листы на выдачу заработной платы, пособий, гонораров, материальной помощи и др. выплат; доверенности на получение денежных сумм и товарно-материальных ценностей, в том числе аннулированные доверенности о получении заработной платы и других выплат ХРАНЯТ 75 ЛЕТ.
• Анкеты, автобиографии, листки по учету кадров, заявления, рекомендательные письма лиц, не принятых на работу ХРАНЯТ 3 ГОДА.
• Переписку по поводу перевода сотрудников ХРАНЯТ 3 ГОДА.
• Командировочные удостоверения ХРАНЯТ 5 ЛЕТ.

С полным списком документов и сроками их хранения можно ознакомиться в Приложении к вышеназванному Приказу.

Что такое

В Федеральном законе РФ “О персональных данных” отмечено, что любая информация, касающаяся прямо или косвенно определенного физического лица относится к персональным данным.

Это различные сведения о человеке: от ФИО, даты и места рождения до информации о доходах, здоровье и т.д.

Если обратиться к Трудовому кодексу РФ, то можно увидеть, что персональными данными считается информация, относящаяся к работнику и используемая работодателем в связи с трудовыми отношениями.

При поступлении на работу каждый сотрудник предоставляет организации (оператору) паспорт, военный билет, пенсионное свидетельство, ИНН и другие документы.
Поэтому, каждый работодатель, заключая с работником трудовой договор, становится обладателем сведений, относящихся к персональным данным.
И совершая любые действия с этими данными (например, сбор, запись, систематизацию, накопление, хранение и другие), предприятие осуществляет их обработку.

Персональные данные, с которыми приходится работать сотрудникам кадровой службы, носят конфиденциальный характер. Это означает, что лица, имеющие доступ к личной информации работников, без их разрешения или другого законного основания, не имеют права ее распространять.

Ответственность за разглашение персональных данных

До недавнего времени штраф предусматривался только одного вида ( КоАП РФ), который составлял 5000 – 10000 для организаций и 500 – 1000 рублей – для должностных лиц. С июля 2019 года установлено 6 разновидностей ответственности работодателя, причем за разные виды нарушений на работодателя могут наложить одновременно несколько штрафов. Рассмотрим основные из них:

За разглашение ПД, используя свое служебное положение, должностным лицам грозит штраф в размере 4000 – 5000 рублей ( КоАП, КоАП). Кроме того, статьей 137 УК РФ предусмотрена уголовная ответственность за разглашение ПД работника, согласно которой разглашение персональной информации грозит штрафом от 100 до 300 тыс. рублей.

Пошаговая инструкция по использованию задокументированных сведений

1. Обработка и хранение персональных данных на бумажном носителе должна быть проведена на основе законодательства РФ (ст. 24 Конституции, Глава 14 ТК РФ, ФЗ РФ от 27 июля 2006 года № 152 «О персональных данных», Приказ Минкультуры РФ 2010 года № 558, статья 137 УК РФ и др.

Статья 24 Конституции РФ

• Сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются.
• Органы государственной власти и органы местного самоуправления, их должностные лица обязаны обеспечить каждому возможность ознакомления с документами и материалами, непосредственно затрагивающими его права и свободы, если иное не предусмотрено законом.
2. Для правильного разграничения персональных данных от данных иного характера должен быть установлен перечень сведений, которые относятся к персональным данным.
3. При работе с документами, содержащими персональные данные работников, должны быть соблюдены следующие требования:
   • работа с данными должна осуществляться исключительно в целях обеспечения трудовых правоотношений, во исполнение требований действующего законодательства о труде;
   • все документы необходимо запрашивать непосредственно у их обладателя;
   • в случае необходимости запроса документов из других источников, необходимо получение согласия работника на обработку, в письменном виде;
   • если не предусмотрено законом, то работодатель не имеет право запрашивать без согласия подчиненного информацию о личной жизни работника, его религиозных предпочтениях, членстве в политических партиях, профсоюзных организаций;
   • нельзя передавать эту информацию третьим лицам. Работникам выдается ровно та информация, которая необходима для выполнения им поручения.
4. Часть документов хранится в оригинале: это трудовая книжка, трудовой договор, дополнительные трудовые соглашения, различные приказы руководителя в отношении сотрудника, и т.д. Вторая часть документов предъявляются для ознакомления. С последующим снятием светокопии. Например, свидетельство о браке, свидетельство о рождении детей, паспорт, и др.
5. Кадровые документы, относящиеся к личному делу, скрепляются в отдельную папку работника. Папки хранятся в алфавитном порядке или разделены согласно подразделениям организации.
6. Бухгалтерские документы могут обрабатываться и храниться без привязки к работнику, а к функциональному назначению самого документа. Например:
   • документы по заработной плате сохраняться в папке для расчетов оплаты труда;
   • документы для оплаты командировочных – в папке для финансирования дополнительных мероприятий.
7. Папки с документами размещаются в сейф. Доступ к сейфу имеют руководитель предприятия, начальник отдела кадров, начальник бухгалтерии (подробнее о том, что нужно знать о доступе к персональным данным, читайте тут).
8. Ответственность за проведение инструктажа относительно порядка использования, обращения и хранения данных документов возлагается на кадровиков. Аналогично решается вопрос, где хранить согласие на обработку данных сотрудников.

• Скачать бланк согласия работника на обработку персональных данных
• Скачать образец согласия работника на обработку персональных данных

Более детально о том, как заполнить заявление на обработку и на другие операции с персональными данными работника, читайте тут, а об обязательстве о неразглашении и других документах узнайте в этом материале.

Если вы оператор – работодатель

В главе 14 Трудового кодекса прямо указывается на обязательное наличие на каждом предприятии внутреннего локального нормативного акта, регулирующего порядок использования и хранения персональных данных (ст. 87 ТК РФ).

Как правило, этим документом служит Положение о защите персональных данных работников (далее – «Положение»), но в целом допустимо включить соответствующий раздел в состав Правил внутреннего трудового распорядка.

Целью этого документа является задача определить меры защиты персональных данных работников при обработке таковых, условия их хранения, условия допуска сотрудников компании к таким данным, права и обязанности работников и работодателя по отношению к вопросу использования персональных данных каждого конкретного работника.

Безусловно, все вышеуказанные условия работы с персональными данными должны быть определены в строгом соответствии с ТК РФ, законом «О персональных данных» и требованиями подзаконных нормативных актов, перечень которых приведен выше.

Поскольку этот локальный нормативный акт является обязательным для каждого работодателя, а ТК РФ содержит прямое указание на право работников участвовать в разработке системы обеспечения гарантий, связанных с защитой персональных данных, естественно, необходимо ознакомить каждого работника, занятого на предприятии, с этим документом. Более того, в соответствии со статьей 68 ТК РФ каждый принимаемый на работу кандидат также должен быть ознакомлен с условиями обработки его персональных данных еще до заключения с ним трудового договора.

Документом, подтверждающим ознакомление работников с Положением, может быть либо отдельная расписка работника, форма которой должна быть указана как неотъемлемая часть Положения, либо можно использовать иные способы ознакомления работников с локальными нормативными актами (далее – «ЛНА») организации, которые применяются у конкретного работодателя (например: журнал ознакомления с ЛНА, лист ознакомления с ЛНА и т. п.).

Также в Положении необходимо определить перечень должностных лиц организации, имеющих доступ к персональным данным работников (разумеется, в целях исполнения своих должностных обязанностей) и предусмотреть форму документа, (например, «Соглашения о не разглашении»), которую каждый из таких должностных лиц должен будет подписать в подтверждение понимания своей ответственности в случае разглашения рассматриваемой информации. При составлении перечня лиц, допущенных к информации такого характера, надо указать не только рядовых работников – исполнителей (таких как менеджер по персоналу, сотрудники бухгалтерии, юристы), но и вписать руководителей подразделений вашей компании, включая генерального директора предприятия.

В качестве дополнительной рекомендации, в целях исполнения требований ТК РФ в части использования персональных данных работников в коммерческих целях, которые не допускают такое использование без согласия работника, можно включить перечень случаев использования и объем используемой информации в Положении (например: в целях предоставления информации для участия в торгах, подготовки коммерческого предложения, рекламы компании на сайте и т. д.).

Говоря о технической стороне организации защиты персональных данных работников, тем же законом, изданным в 2009 году, который предоставил отсрочку, были внесены изменения в закон «О персональных данных», упраздняющие обязанность операторов по защите персональных данных с обязательным использованием шифровальных (криптографических) средств (Закон от 27 декабря 2009 г. № 363-ФЗ).

Тем не менее обязанность по обеспечению безопасности персональных данных при их обработке и по защите от несанкционированного доступа третьих лиц при организации хранения персональных данных четко определена действующим законодательством. Следовательно, каждому оператору – работодателю необходимо обеспечить технические средства защиты, такие как: наличие сейфов с кодами доступа (и/или шкафов, запирающихся на замок, и/или отдельных помещений, закрывающихся на ключ или соответствующий код – для персональных данных, обрабатываемых без использования средств автоматизации). Информация о кодах или доступ к ключам должен быть только у допущенных к работе с персональными данными лиц.

В свою очередь персональные данные, которые обрабатываются в информационных системах (фактически это все базы данных, хранящиеся на серверах или в системных блоках компьютеров с использованием или без специализированных программ), также должны быть защищены с задействованием различных методов, в том числе таких, как:

• реализация разрешительной системы допуска пользователей (обслуживающего персонала) к информационным ресурсам, информационной системе и связанным с ее использованием работам, документам;
• ограничение доступа пользователей в помещения, где размещены технические средства, позволяющие осуществлять обработку персональных данных, а также хранятся носители информации;
• учет и хранение съемных носителей информации и их обращение, исключающее хищение, подмену и уничтожение;
• другие методы и способы, полный перечень которых определяется приказом ФСТЭК РФ от 5 февраля 2010 г. № 58 «Об утверждении Положения о методах и способах защиты информации в информационных системах персональных данных».

В итоге для готовности каждого оператора – работодателя к возможным проверкам на соответствие требованиям законодательства в области защиты персональных данных работников в будущем году необходимо иметь рабочую систему защиты персональных данных, содержащихся как на материальных носителях без средств автоматизации, так и в информационных системах, регламентированную с соответствующим ЛНА, разработанным с учетом действующего законодательства исключительно на основании технических ресурсов вашей организации.

Какие данные являются персональными

Персональными данными является любая информация, прямо или косвенно относящаяся к субъекту персональных данных — определенному или определяемому физическому лицу (ст. 3 Федерального закона от № 152-ФЗ «О персональных данных», далее — Закон о персональных данных).

К общим персональным данным можно отнести следующие сведения:

• фамилия, имя, отчество;
• дата и место рождения;
• адрес (место регистрации);
• образование, профессия;
• изображение человека (фотография и видеозапись), которое позволяет установить личность и с этой целью используется оператором (Разъяснения Роскомнадзора от 30 августа 2013 года «О вопросах отнесения фото- и видео- изображения, дактилоскопических данных и иной информации к биометрическим персональным данным и особенности их обработки»);
• семейное положение, наличие детей, родственные связи;
• факты биографии и предыдущая трудовая деятельность (место работы, судимость, служба в армии, работа на выборных должностях, на государственной службе и др.);
• финансовое положение. Сведения о заработной плате также являются персональными данными (письмо Роскомнадзора от № 08КМ-3681);
• деловые и иные личные качества, которые носят оценочный характер;
• прочие сведения, которые могут идентифицировать человека.

Кроме того, в Законе о персональных данных упоминаются:

• специальные персональные данные (касаются расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни). По общему правилу обработка этих данных не допускается. Исключение — случаи, предусмотренные частью 2 статьи 10 Закона о персональных данных;
• биометрические персональные данные (характеризуют физиологические и биологические особенности человека, на основании которых можно идентифицировать его личность). Для обработки таких сведений необходимо согласие субъекта персональных данных. Исключение — случаи, установленные ч. 2 ст. 11 Закона о персональных данных.

Работодатель вправе получать и использовать только те сведения, которые характеризуют гражданина как сторону трудового договора (например, сведения о социальном и имущественном статусе человека не имеют отношения к его трудовому процессу). Эта информация содержится в следующих документах, предъявляемых работником при приеме на работу:

• в паспорте или ином документе, удостоверяющем личность;
• трудовой книжке;
• документах о воинском учете, образовании, составе семьи;
• справке о доходах с предыдущего места работы;
• анкете, заполняемой при трудоустройстве;
• личной карточке работника (форма Т-2);
• свидетельствах о заключении брака, рождении ребенка;
• медицинских справках и др.

У работодателя хранятся копии перечисленных документов, за исключением анкет, трудовых книжек и личных карточек.