Что следует делать работодателям, чтобы обеспечить охрану персональных данных работников, и как уведомлять Роскомнадзор о намерении обрабатывать персональные данные, с учетом изменений законодательства, вступивших в силу 1 сентября 2022 года? Об этом вы расскажем в нашей новой статье.
Как защитить персональные данных работников?
Под персональными данными понимаются сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность. Как правило, к персональным данным человека относят Ф.И.О., пол, возраст, образование, профессию, квалификацию, семейное положение, место жительства, наличие судимости, размер доходов и прочие сведения, которые характеризуют человека и позволяют достаточно точно идентифицировать его.
Под обработкой персональных данных подразумевается любое действие с ними, в том числе сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление и уничтожение. Каждый работодатель обязан осуществлять защиту имеющихся у него персональных данных работников. Закон позволяет работодателю вести обработку персональных данных как автоматизированным, так и неавтомазированным способом. Выбирая способ, работодателю следует помнить, что при принятии решения, затрагивающего интересы работника, он не может основываться на данных, полученных исключительно в результате автоматизированной обработки или электронного получения.
Работодатель обязан сохранять конфиденциальность персональных данных работников. В связи с этим в процессе обработки персональных данных следует уделить особое внимание их учету и защите. В связи с этим закон возлагает на оператора персональных данных назначение лица, ответственного за организацию обработки персональных данных, издание документов, определяющих политику работодателя в отношении обработки персональных данных работников и ознакомление работников с ними, внутренний контроль и аудит соответствия обработки персональных данных законам и локальным актам работодателя, оценку вреда, который может быть причинен работникам в случае нарушения требований по защите персональных данных, организационные и технические меры по защите персональных данных.
Назначение лица, ответственного за организацию обработки персональных данных
Работодатель-организация вправе назначить лицо, ответственное за организацию обработки персональных данных. Индивидуальный предприниматель может выполняет его функции самостоятельно. В зависимости от объема обязанностей Ответственного лица можно либо ввести отдельную должность, либо возложить эту функцию на кого-либо из действующих сотрудников. Помимо приказа о назначении Ответственного лица следует оформить документы, определяющие перечень его обязанностей. Порядок работы такого сотрудника определен в ст. 22.1 Закона № 152-ФЗ. Согласно п. 2 этой нормы Ответственное лицо подотчетно исполнительному органу организации-работодателя. Этот же орган вправе давать указания Ответственному лицу.
В обязанности Ответственного лица входит контроль за соблюдением работодателем и работниками требований законодательства об обработке и защите персональных данных, доведение до сведения работников положений закона и локальных актов организации о персональных данных, организация, прием и обработка обращений и запросов субъектов персональных данных или их представителей. Для работы Ответственному лицу понадобится подробная информация как о самом операторе персональных данных, так и иные сведения. Полный перечень таких сведений закреплен в ч. 3 ст. 22 Закона № 152-ФЗ. Работодатель, в свою очередь, обязан предоставить эти сведения.
Осуществление внутреннего контроля и аудита соответствия обработки персональных данных законам и локальным нормативным актам
Для качественной и всесторонней защиты обрабатываемых персональных данных недостаточно издать соответствующие локальные акты и указать работникам на необходимость соблюдения, закрепленных в них правил, а также законодательства о защите этих данных. Необходим контроль за исполнением требований и соблюдением правил, закрепленных в указанных документах.
Как правило, функции осуществления такого контроля возлагаются на лицо, ответственное за организацию обработки персональных данных. Закон не содержит перечня обязанностей такого лица, позволяющих осуществлять всесторонний контроль за исполнением правил по обработке персональных данных. Тем не менее контроль может осуществляться путем отслеживания изменений действующего законодательства в сфере защиты персональных данных, проверки соответствия деятельности организации по защите персональных данных требованиям закона и локальных нормативных актов, своевременного приведения локальных нормативных актов организации в соответствие с действующим законодательством о защите персональных данных, оптимизации способов и методов защиты персональных данных и т.д.
В целях организации внутреннего контроля за соблюдением законодательства о персональных данных целесообразно разработать план контрольных и проверочных мероприятий. В этом плане можно закрепить перечень мероприятий внутреннего контроля, а также способы, методы, периодичность и другие параметры мероприятий по внутреннему контролю.
Оценка вреда, который может быть причинен работникам при нарушении требований по защите персональных данных
Порядок проведения такой оценки законом не закреплен и осуществляется работодателем по собственному усмотрению. Такую оценку целесообразно проводить в первую очередь, поскольку от ее результата будет зависеть выбор мер, необходимых для качественной защиты персональных данных. Поскольку объемы, виды и другие характеристики персональных данных могут со временем меняться, оценка возможного вреда может проводиться и с какой-нибудь периодичностью.
Периодичность, порядок проведения, результаты и прочие характеристики оценки вреда персональных данных фиксировать документально не обязательно. Но законом это не запрещено. При необходимости можно осуществлять и такую фиксацию. Поскольку зачастую нормативные и локальные акты о персональных данных являются сложными документами, одного ознакомления с ними недостаточно. Рекомендуется проводить обучение сотрудников, в ходе которого необходимо разъяснить им все положения законов и локальных актов. По результатам такого обучения может быть осуществлено тестирование/аттестация работников на знание материала.
Применение правовых, организационных и технических мер по защите персональных данных
Как следует из ч. 1 ст. 19 Закона № 152-ФЗ, при обработке персональных данных необходимо принимать необходимые правовые, организационные и технические меры. Они призваны защитить персональные денные от неправомерного доступа, копирования, изменения, блокирования, уничтожения и т.д. Примерный перечень мер, которые могут быть приняты работодателем для защиты персональных данных работников, приведен в ч. 2 ст. 19 Закона № 152-ФЗ. Причем выбор способов защиты будет зависеть от того, обрабатываются персональные данные в информационных системах или нет. Под информационной системой персональных данных понимают совокупность всех персональных данных, обрабатываемых работодателем, а также технологий и технических средств для их обработки. То есть речь идет об обработке персональных данных автоматизированным способом. Помимо указанных мер рекомендуется также организовать физическую защиту носителей персональных данных, мест, где они хранятся и т.д. В частности, для этого понадобится оборудовать специальное помещение для хранения персональных данных и ограничить к ним доступ.
Как получить персональные данные работников?
Получение персональных данных непосредственно от работника
По общему правилу все персональные данные работника должны быть получены от него самого. При определении перечня необходимых персональных данных работодатель должен учитывать, что их обработка может проводиться исключительно в целях соблюдения законодательства, содействия работникам в трудоустройстве, получения образования и продвижения по службе, обеспечения личной безопасности работников, сохранности имущества, а также контроля за выполняемой работой.
Если работодатель обрабатывает персональные данные неавтоматизированным способом, то формы документов, в которых содержатся такие данные, должны содержать сведения о цели обработки персональных данных, адрес работодателя, фамилию, имя, отчество и адрес работника, источник получения персональных данных, сроки их обработки, перечень действий с персональными данными, которые будут совершаться в процессе их обработки, общее описание используемых способов обработки, содержать поле с отметкой работника о согласии на обработку персональных данных без использования средств автоматизации – если письменное согласие на обработку персональных данных является обязательным условием, быть так составлены, чтобы каждый из субъектов персональных данных, содержащихся в документе, имел возможность ознакомиться со своими данными из документа, не нарушая прав и законных интересов иных лиц, исключать объединение полей, предназначенных для внесения персональных данных, цели обработки которых заведомо несовместимые. Закон не предъявляет жестких требований к формам документов при автоматизированной обработке персональных данных, поэтому работодатель может разработать их самостоятельно.
Получение персональных данных работника от третьих лиц
В некоторых случаях персональные данные могут быть получены только у третьей стороны. В этом случае работника следует уведомить о намерении запросить его персональные данные и получить его письменное согласие на это. Для этого необходимо составить и представить работнику на подпись документ с указанием на перечень необходимых работодателю персональных данных работника, цель обработки персональных данных и ее правовое основание, перечень персональных данных, предполагаемых пользователей персональных данных, законные права субъекта персональных данных, способ и источник получения персональных данных, последствия отказа работника от дачи письменного согласия на их получение. Какие именно последствия могут быть, в законе не указано. В каждом конкретном случае такие последствия будут индивидуальными: например, недостаток информации о работнике может стать препятствием для дальнейших полноценных трудовых отношений. Форма уведомления работника, а также его согласия на получение персональных данных у третьего лица нормативными актами не утверждены. Работодателю придется разработать их самостоятельно.
При этом законом предусмотрен ряд случаев, когда работника можно не уведомлять о получении его персональных данных у третьих лиц. Работодатель освобождается от этой обязанности, если работник уже уведомлен об осуществлении обработки его данных, данные получены на основании закона или в связи с исполнением договора, стороной, выгодоприобретателем или поручителем по которому является работник, персональные данные являются общедоступными, обработка данных осуществляется для статистических и иных исследовательских целей, осуществления профессиональной деятельности журналиста, научной литературной или иной творческой деятельности, предоставление таких данных работнику нарушает права и законные интересы третьих лиц.
