Что относится к персональным данным?

Здравствуйте, в этой статье мы постараемся ответить на вопрос: «Что относится к персональным данным?». Если у Вас нет времени на чтение или статья не полностью решает Вашу проблему, можете получить онлайн консультацию квалифицированного юриста в форме ниже.

Содержание

2. Ответственность за распространение персональных данных

3. Защита персональной информации, полученной из анкет

4. Согласие работника на обработку персональных данных

5. Общедоступные данные по-новому

6. Существует ли перечень обязательных документов, регулирующих обработку персональных данных работника

7. Обновление правил обработки персональных данных работников: что изменилось в 2021 году

8. Как передать обработку ПД третьим лицам

9. Новые штрафы за нарушение правил обработки персональных данных

10. В каких документах есть персональные данные

11. Ответственность за нарушение законодательства

12. Правило 4. Уметь обрабатывать ПД

13. Требования к процедуре

Иногда работодатели публикуют в интернете «чёрные» списки сотрудников, с которыми у них возникали проблемы. При этом они не учитывают тот факт, что персональные данные работника — это защищаемая законом информация, и её нельзя использовать по своему усмотрению. Основы для этого заложены в Конституции Российской Федерации.

Ответственность за распространение персональных данных

Законодательные нарушения в части хранения персональных данных караются административными штрафами и другими наказаниями вплоть до уголовного преследования. Назначаемые санкции зависят от характера и степени обнаруженных недочётов, наличия усугубляющих факторов (например, массового распространения содержимого анкет или электронных баз данных).

Нарушителям грозит:

штраф до 75 тысяч рублей — за сбор избыточных данных, обработку без согласия на это со стороны работника, предоставление доступа посторонним лицам;
штраф до 200 тысяч рублей или лишение свободы до 2 лет, запрет занимать определенные должности до 3 лет — за публикацию персональных данных в открытом доступе;
штраф до 300 тысяч рублей, лишение свободы до 5 лет, запрет на занятие должностей до 6 лет — если указанное выше нарушение было совершено с использованием служебного положения.

Защита персональной информации, полученной из анкет

Зачастую работодатели используют анкеты как инструмент первичного отбора кандидатов. В этой ситуации также надо помнить про защиту персональной информации соискателя. Необходимо обратить внимание на такие моменты:

любая такая анкета должна включать сведения о сроке ее рассмотрения;
нужно четко указать цель обработки персональной информации, которая получена через анкетирование. Цель должна обозначаться через указание конкретных действий и сроков их осуществления;
в анкете должен быть пункт, в котором соискатель указывает, что он согласен на обработку персональной информации;
у анкеты не должно быть технической возможности объединить поля для внесений информации, цели обработки которой изначально не совместимы.

Согласие работника на обработку персональных данных

Нужно ли получать согласие работника на обработку персональных данных? Да, обработка персональных данных в общих случаях осуществляется исключительно с согласия работника.

Исключения, когда не требуется брать согласие работника, прямо регламентированы законом, а также описаны в Разъяснениях Роскомнадзора. Например, не нужно получать такое согласие, если вы сообщаете персональные данные работника третьей стороне, когда это необходимо в целях предупреждения угрозы его жизни и здоровью (ст. 88 ТК РФ, п. 4 Разъяснений Роскомнадзора).

Согласие на обработку персональных данных предусматривается в трудовом договоре, заключаемом по типовой форме (утв. Постановлением Правительства РФ от 27.08.2016 N 858). В ней прямо предусмотрено соответствующее положение. Трудовой договор по этой форме заключается в рамках ст. 309.2 ТК РФ.

В остальных случаях согласие работника на обработку персональных данных рекомендуем оформлять отдельным документом. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным (п. 1 ч. 1 ст. 6, ч. 1 ст. 9 Закона о персональных данных).

Если персональные данные работника возможно получить только у третьих лиц, сообщите об этом работнику и заручитесь его письменным согласием (п. 3 ст. 86 ТК РФ).

Настоятельно рекомендуем включить в него следующую информацию:

цели получения персональных данных работника у третьих лиц;
предполагаемые источники информации (лица, у которых будете запрашивать данные);
способы получения данных, их характер;
возможные последствия отказа работника дать согласие на получение его персональных данных у третьих лиц.

Общедоступные данные по-новому

С 1 марта 2021 года вместо общедоступных данных появилось понятие «персональные данные, разрешенные субъектом персональных данных для распространения» – сведения о субъекте, доступ к которым субъект предоставил неограниченному кругу лиц путем дачи согласия на обработку этих ПД, разрешенных им для распространения в порядке, предусмотренном Законом № 152-ФЗ (ст. 3 Закона № 152-ФЗ).

При этом под распространением персональных данных в новой редакции понимаются действия, направленные на их раскрытие неопределенному кругу лиц.

К сведению: в прежней редакции закона распространением назывались действия, направленные на передачу ПД определенному кругу лиц или на ознакомление с ПД неограниченным кругом лиц, в том числе обнародование в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к ПД каким-либо иным способом.

Таким образом, прежде чем разместить для неограниченного круга лиц (на сайте организации, в печатных изданиях, в рекламе и т. д.) персональные данные работника, нужно получить его согласие.

Существует ли перечень обязательных документов, регулирующих обработку персональных данных работника

Составление списка определяется типом оператора и характеристиками обрабатываемых ПДн. Чтобы персональные данные сотрудников в организации были защищены, а у проверяющих не возникало претензий, следует разработать и внедрить:

политику в отношении ПДн;
перечень персональных данных;
согласие на совершение операций с личной информацией;
согласие на распространение ПДн;
перечень мер информационной защиты;
приказ о назначении ответственного за безопасность сведений;
журналы учета и проверки наличия документов, в которых содержатся ПДн.

Обновление правил обработки персональных данных работников: что изменилось в 2021 году

Если вы работодатель, и персональные данные сотрудников приходится обрабатывать регулярно, то нужно постоянно проводить мониторинг законодательной базы. Изменения 2021 года не коснулись основных принципов, в частности, нельзя требовать информацию, которая не нужна для исполнения рабочих обязанностей, в частности, нарушением считается выяснение религиозных и политическим предпочтений, деталей интимной жизни или национальной принадлежности. Также государство оставляет право произвольного составления формы согласия на обработку ПДн, но при этом нужно дополнительно получать документ, разрешающий распространять личные сведения. Специальное согласие позволяет размещать информацию на виртуальных ресурсах, причем отсутствие реакции от субъекта не может интерпретироваться как положительный ответ на запрос о распространении ПДн. Требование распространяется даже на сведения, которые гражданин публикует на открытых онлайн площадках, в частности, в мессенджерах и социальных сетях.

Среди других нововведений следует отметить:

Вступление в силу ФЗ-248, который определяет новый механизм осуществления инспекционных проверок, а также Постановления Правительства № 1046, где четко прописывается порядок проверочных мероприятий.
Возможность распространения ПДн без дополнительного согласия только ПФР, правоохранительным и другим государственным органам. Персональные данные работника являются информацией, которая не может передаваться свободно третьим лицам.
Предоставление субъекту права отказать в разрешении на распространение личных сведений. Одновременно с этим, если законом на работодателя возложены обязательства по сбору и хранению ПДн, то совершать эти операции можно и без согласия.
Наличие двух способов оформления согласия — при помощи ИС Уполномоченного органа либо в письменном виде с оригиналом подписи физлица.
Подключение оператора к системе Роскомнадзора для получения информации, необходимой для предусмотренных законом целей обработки без непосредственного взаимодействия с субъектом.
Требование составлять отдельное согласие для распространения ПДн каждому третьему лицу, то есть нельзя попросить сотрудника заполнить и подписать один документ для разных целей и сразу нескольких вариантов использования конфиденциальных данных.
Обязательство предприятия остановить обработку персональных данных сотрудников в течение 3 дней после поступления официального заявления с соответствующим требованием от владельца ПДн. При неисполнении данного условия субъект может отправить исковое заявление в судебный орган для защиты своих прав.
Увеличение в 2 раза штрафов за различные нарушения, включая неполучение согласия и продолжение использования ПДн после поступления заявления с требованием о прекращении обработки.

Как передать обработку ПД третьим лицам

Операторы при определённых условиях могут поручить обработку ПД третьим лицам (ч. 3 ст. 6 Закона № 152-ФЗ). Для этого нужно заключить соответствующий договор. Также обработка может производиться на основе акта государственного или муниципального органа или на основании поручения оператора персональных данных.

В акте необходимо указать:

перечень обрабатываемых персональных данных;
обязанность третьего лица предоставлять по запросу оператора ПД в течение срока действия поручения документы и иную информацию, подтверждающую осуществление мер и соблюдение требований по их защите;
обязанность третьего лица соблюдать требования ч. 5 ст. 18, ст. 18.1 Закона № 152-ФЗ, возлагаемые на оператора ПД;
обязанность третьего лица уведомить оператора ПД о случаях неправомерной или случайной передачи персональных данных в сроки, установленные ч. 3.1 ст. 21 Закона № 152-ФЗ (в те же сроки оператор обязан уведомить об инциденте Роскомнадзор).

Новые штрафы за нарушение правил обработки персональных данных

Неправомерная (без соответствующего согласия) обработка и распространение общедоступных персональных данных, равно как и отказ от их удаления из общего доступа по требованию граждан, влечет для организаций и ИП штрафы по ч. 1 ст. 13.11 КоАП РФ. Эта норма предусматривает для ИП и должностных лиц организаций в размере от 5 000 до 10 000 рублей, а для самих организаций – от 30 000 до 50 000 рублей.

Но уже с 27 марта 2021 года штрафы за совершение вышеуказанных нарушений будут в значительной степени увеличены (Федеральный закон от 24.02.2021 № 19-ФЗ). Так, штраф для ИП и должностных лиц организаций составит от 10 000 до 20 000 рублей, а для организаций – от 60 000 до 100 000 рублей.

Повторное нарушение повлечет взыскание штрафа с должностных лиц организаций в размере от 20 000 до 50 000 рублей, с ИП – в размере от 50 000 до 100 000 рублей, а с организаций – в размере от 100 000 до 300 000 рублей (новая ч. 1.1 ст. 13.11 КоАП РФ).

Одновременно будут увеличены штрафы и за саму обработку персональных данных без получения соответствующего согласия в письменной форме (ч. 2 ст. 13.11 КоАП РФ). Сейчас обработка персональных данных без согласия гражданина грозит физлицам штрафом в размере от 3 000 до 5 000 рублей, должностным лицам – от 10 000 до 20 000 рублей, а организациям – от 15 000 до 75 000 рублей. Такие же штрафы назначаются и за обработку персональных данных с нарушением требований к составу сведений, включаемых в согласие.

С 27 марта обработка персональных данных без разрешения повлечет наложение на физлиц штрафа в размере от 6 000 до 10 000 рублей. Должностным лицам организаций и ИП совершение этих нарушений обойдется штрафом в размере от 20 000 до 40 000 рублей, а организациям – от 30 000 до 150 000 рублей.

В каких документах есть персональные данные

В процессе работы кадровая служба копит и хранит сведения о сотруднике, заключенные в следующих документах:

Документы	Какие персональные данные в них содержатся
Резюме, анкета, автобиография, личный листок по учету кадров	Личные качества, биографические данные
Копия удостоверения личности	ФИО, дата и место рождения, адрес регистрации, семейное положение, реквизиты самого удостоверения
Личная карточка № Т-2	Дополнительно к данным удостоверения личности указывается состав семьи и образование
Трудовая книжка	Трудовой стаж, места работы
Копии свидетельств о заключении брака, рождении детей	Сведения о составе семьи
Документы воинского учета	Отношение работника к воинской обязанности
Справка о доходах с предыдущего места работы	Уровень заработка на предыдущем месте трудоустройства
Документы об образовании	Уровень образования
СНИЛС, ИНН	Индивидуальные номера гражданина в системе пенсионного страхования и для налоговых органов
Трудовой договор	Должность, заработная плата, место работы
Приказы по личному составу и их копии	Информация о приеме, переводе, повышении, увольнении

В качестве персональных выступают и другие данные, не перечисленные в таблице. Например, информация о соискателях для принятия руководством решения о приеме нового сотрудника из нескольких кандидатур.

Ответственность за нарушение законодательства

Согласно ч. 1 ст. 6 закона № 152 для обработки личных сведений необходимо получить согласие лица, которому они принадлежат. Использование персональных данных без согласия по общему правилу является нарушением закона и влечет за собой привлечение ответственного за их обработку к дисциплинарной, административной и даже уголовной ответственности (ч. 1 ст. 24 закона № 152).

Так, работодатель может объявить должностному лицу — работнику организации выговор за ненадлежащее исполнение им своих должностных обязанностей или уменьшить размер стимулирующей выплаты (премии), при условии что такой вид наказания предусмотрен действующим на предприятии коллективным договором или иным локальным документом.

Административная ответственность за обработку данных без согласия лица, которому они принадлежат, предусматривает наложение на нарушителя штрафа в размере (ч. 2 ст. 13.11 КоАП РФ):

6–10 тыс. руб. — на граждан;
20–40 тыс. руб. — на должностных лиц;
30–150 тыс. руб. — на юридических лиц.

ВНИМАНИЕ! С 27.03.2021 года выросли штрафы за нарушения при работе с персональными данными. Подробности см. здесь.

Уголовная ответственность наступает за незаконный сбор сведений о частной жизни человека (в том числе о личной или семейной тайне), а также за неправомерный доступ к компьютерной информации, содержащей такие сведения (ст. 137, 272 УК РФ).

Кроме того, субъект персональных данных может потребовать от нарушителя возмещения причиненного ему морального вреда (ч. 2 ст. 24 закона № 152).

Правило 4. Уметь обрабатывать ПД

К обработке ПД относится любое действие или совокупность действий, совершаемых с использованием средств автоматизации или без использования таких средств с ПД, например сбор, систематизация, хранение, использование, передача, уничтожение и др.

Обработка любых категорий ПД допускается с письменного согласия работника.

Обработка общих ПД осуществляется, если:

обработка необходима для достижения целей, предусмотренных законом (например, ст. 24 НК РФ), для осуществления и выполнения возложенных законодательством РФ на работодателя функций, полномочий и обязанностей. Например, передача ПД при перечислении налогов в бюджетную систему РФ, поскольку работодатель является налоговым агентом;
обработка необходима для исполнения трудового договора, стороной которого является работник. Например, передача информации в налоговую инспекцию;
работник предоставил доступ к ПД (либо по его просьбе) для неограниченного круга лиц. Например, работник попросил сделать рассылку о размещении информации о его юбилее.

Обработка специальных категорий ПД происходит в случаях, если:

ПД сделал общедоступными сам работник;
обработка осуществляется в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, законодательством РФ о пенсиях по государственному пенсионному обеспечению, о трудовых пенсиях;
обработка происходит в соответствии с законодательством об обязательных видах страхования, со страховым законодательством.

Обработка биометрических ПД осуществляется без согласия работника:

если фото и записи сделаны на массовых и публичных мероприятиях;
в связи с реализацией международных договоров РФ о реадмиссии — согласии государства на прием обратно на свою территорию граждан, которые подлежат депортации из другого государства;
в случаях, предусмотренных законодательством РФ об обороне, безопасности, противодействии терроризму, транспортной безопасности, противодействии коррупции, оперативно-разыскной деятельности, государственной службе, уголовно-исполнительным законодательством РФ;
в случаях, предусмотренных законодательством РФ о порядке выезда из РФ и въезда в РФ, о гражданстве РФ. Например, работника отправляют в служебную командировку за пределы РФ.

Требования к процедуре

Общие требования устанавливает ст. 86 Трудового кодекса РФ и ст. 5 Закона о персональных данных:

обработка персональных данных производится только с целью, связанной с трудовой деятельностью. Например, в целях трудоустройства, повышения квалификации, прохождении аттестации и т.п.
персональные данные работодатель получает только от работника. Если эти сведения можно получить только от третьих лиц, то получите письменное согласие работника.
работодатель обязан ознакомить работника с локальными актами, которые касаются работы с персональными данными. Это приказ об утверждении положения о персональных данных, о допуске к данным и т.п.
хранятся данные только до достижения целей обработки (действие трудового договора и требования по срокам хранения личных дел)
меры по защите персональных данных работодатель вырабатывает совместно с работниками

Огромное значение правильной обработки персональных данных является издание локальных актов работодателя. Образцы и примеры составления которых мы разместили на нашем сайте.

По общему правилу специальные и биометрические категории персональных данных работодатель не обрабатывает.

В настоящее время грань между персональными данными и «не персональными данными» заметно истончилась. В первую очередь это связано с появлением современных технологий и различных гаджетов. С появлением интернета большинство сведений о человеке стали общедоступными, а расплывчатое объяснение в Федеральном законе №-152 «О персональных данных» не дает точного ответа на вопрос «Что такое персональные данные?».

Многие юристы и по сей день спорят о том, что из представленной информации в интернете попадает под это определение, а что можно отнести к «не персональным данным». С полной уверенностью можно сказать, что IP-адрес компьютера не считается ПДн физического лица, так как он не может напрямую идентифицировать человека.

Тоже касается и доменного имени и сетевых адресов. Также прочую техническую информацию невозможно отнести к этой категории.