Хранение персональных данных

Содержание

5 шагов по организации учета и хранения персональных данных

Систематизируйте или обновите знания, получите практические навыки и найдите ответы на свои вопросы на курсах повышения квалификации в Школе бухгалтера. Курсы разработаны с учетом профстандарта «Бухгалтер».

Работодатель, принимая сотрудника на работу, должен запросить у него определенные сведения, которые необходимы в рамках трудового, налогового и бухгалтерского законодательства. Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» требует от работодателя, который в данном случае является оператором персональных данных и выполняет их обработку, обеспечить безопасность этой информации.

Какие данные являются персональными

Персональными данными является любая информация, прямо или косвенно относящаяся к субъекту персональных данных — определенному или определяемому физическому лицу (ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», далее — Закон о персональных данных).

К общим персональным данным можно отнести следующие сведения:

  • фамилия, имя, отчество;
  • дата и место рождения;
  • адрес (место регистрации);
  • образование, профессия;
  • изображение человека (фотография и видеозапись), которое позволяет установить личность и с этой целью используется оператором (Разъяснения Роскомнадзора от 30 августа 2013 года «О вопросах отнесения фото- и видео- изображения, дактилоскопических данных и иной информации к биометрическим персональным данным и особенности их обработки»);
  • семейное положение, наличие детей, родственные связи;
  • факты биографии и предыдущая трудовая деятельность (место работы, судимость, служба в армии, работа на выборных должностях, на государственной службе и др.);
  • финансовое положение. Сведения о заработной плате также являются персональными данными (письмо Роскомнадзора от 07.02.2014 № 08КМ-3681);
  • деловые и иные личные качества, которые носят оценочный характер;
  • прочие сведения, которые могут идентифицировать человека.

Кроме того, в Законе о персональных данных упоминаются:

  • специальные персональные данные (касаются расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни). По общему правилу обработка этих данных не допускается. Исключение — случаи, предусмотренные частью 2 статьи 10 Закона о персональных данных;
  • биометрические персональные данные (характеризуют физиологические и биологические особенности человека, на основании которых можно идентифицировать его личность). Для обработки таких сведений необходимо согласие субъекта персональных данных. Исключение — случаи, установленные ч. 2 ст. 11 Закона о персональных данных.

Работодатель вправе получать и использовать только те сведения, которые характеризуют гражданина как сторону трудового договора (например, сведения о социальном и имущественном статусе человека не имеют отношения к его трудовому процессу). Эта информация содержится в следующих документах, предъявляемых работником при приеме на работу:

  • в паспорте или ином документе, удостоверяющем личность;
  • трудовой книжке;
  • документах о воинском учете, образовании, составе семьи;
  • справке о доходах с предыдущего места работы;
  • анкете, заполняемой при трудоустройстве;
  • личной карточке работника (форма Т-2);
  • свидетельствах о заключении брака, рождении ребенка;
  • медицинских справках и др.

У работодателя хранятся копии перечисленных документов, за исключением анкет, трудовых книжек и личных карточек.

Обработка персональных данных

Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение данных (ст. 3 Закона о персональных данных).

Закон о персональных данных обязывает работодателя соблюдать определенные требования по обработке этих данных. Например, обработка персональных данных осуществляется только с согласия работника (п. 1 ст. 6, ст. 9 Закона о персональных данных). Во избежание судебных споров лучше, если это согласие будет оформлено письменно. То же самое правило действует в отношении соискателей.

В некоторых случаях письменная форма согласия прямо предусмотрена законом (ч. 4 ст. 9 Закона о персональных данных). Например, письменное согласие работника на обработку его персональных данных требуется:

1) при получении персональных данных работника у третьей стороны (п. 3 ст. 86 ТК РФ). Но в этом случае работника нужно предварительно уведомить об этом и получить его письменное согласие (п. 3 ст. 86 ТК РФ).

В уведомлении необходимо указать (п. 3 ст. 86 ТК РФ):

  • цели получения персональных данных работника у третьего лица;
  • предполагаемые источники информации (лица, у которых будут запрашиваться данные);
  • способы получения данных, их характер;
  • возможные последствия отказа работодателю в получении персональных данных работника у третьего лица. При отказе работника ознакомиться с уведомлением о предполагаемом получении его персональных данных у другого лица целесообразно составить соответствующий акт.

Если работник передумал, то в любое время вправе отозвать согласие на обработку персональных данных (ч. 2 ст. 9 Закона о персональных данных).

В такой ситуации продолжение обработки персональных данных работника без его согласия возможно при наличии веских причин. Они перечислены в пунктах 2 — 11 части 1 статьи 6, части 2 статьи 10, части 2 статьи 11 Закона о персональных данных (ч. 2 ст. 9 Закона о персональных данных).

Определенную информацию (которая не имеет отношения к перечисленным в пункте 1 статьи 86 ТК РФ целям), работодатель не вправе запрашивать у третьих лиц даже, если работник согласен.

2) при передаче персональных данных работника третьим лицам, кроме тех случаев, когда это необходимо для предупреждения угрозы жизни и здоровью работника (абз. 2 ст. 88 ТК РФ);

3) для обработки специальных категорий персональных данных работника, непосредственно связанных с вопросами трудовых отношений (п. 4 ст. 86 ТК РФ, п. 1 ч. 2 ст. 10 Закона о персональных данных). К этим данным относятся сведения о расовой, национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни.

При недееспособности работника письменное согласие на обработку его данных дает его законный представитель (родитель, опекун) (ч. 6 ст. 9 Закона о персональных данных). А в случае смерти работника такое согласие оформляют его наследники, если только оно не было получено от самого работника при его жизни (ч. 7 ст. 9 Закона о персональных данных).

Не во всех случаях требуется согласие работника на обработку персональных данных. Например, в том случае, если данные получены (п. 2 ч. 1 ст. 6, п. 2.3 ч. 2 ст. 10 Закона о персональных данных, абз. 1 Разъяснений Роскомнадзора):

  1. из документов (сведений), предъявляемых при заключении трудового договора;
  2. по результатам обязательного предварительного медицинского осмотра о состоянии здоровья (ст. 69 ТК РФ, п. 3 Разъяснений Роскомнадзора от 14 декабря 2012 года «Вопросы, касающиеся обработки персональных данных работников, соискателей на замещение вакантных должностей, а также лиц, находящихся в кадровом резерве», далее — Разъяснения Роскомнадзора от 14.12.2012);
  3. в объеме, предусмотренном унифицированной формой № Т-2, в том числе персональных данных близких родственников, и в иных случаях, установленных законодательством РФ (получение алиментов, оформление допуска к государственной тайне, оформление социальных выплат) (п. 2 Разъяснений Роскомнадзора от 14.12.2012);
  4. от кадрового агентства, действующего от имени соискателя (абз. 12 п. 5 Разъяснений Роскомнадзора от 14.12.2012);
  5. от соискателя, который сам разместил свое резюме в Интернете, сделав его доступным неограниченному кругу лиц (п. 10 ч. 1 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ, абз. 12 п. 5 Разъяснений Роскомнадзора от 14.12.2012).

Работодатель с согласия работника может поручить обработку его персональных данных другому лицу (ч. 3 ст. 6 Закона о персональных данных, абз. 2 п. 5 Разъяснений Роскомнадзора от 14.12.2012). Но при этом именно работодатель несет ответственность перед работником за действия указанного лица (ч. 5 ст. 6 Закона о персональных данных).

Вебинары для бухгалтеров в Контур.Школе: изменения законодательства, особенности бухгалтерского и налогового учета, отчетность, зарплата и кадры, кассовые операции.

Организация учета и хранения персональных данных

Работодатель должен обеспечивать защиту персональных данных работника от неправомерного их использования или утраты за счет своих средств (п. 7 ст. 86 ТК РФ).

Разберем пошагово действия работодателя по учету и хранению персональных данных в организации.

Шаг 1. Работодатель должен издать локальный акт, который будет регулировать порядок хранения и использования персональных данных. Таким актом обычно является Положение о персональных данных работников, с которым работники должны быть ознакомлены под подпись (п. 8 ст. 86 ТК РФ). Ознакомиться с Положением о персональных данных, как и с остальными локальными нормативными актами, работник должен до подписания трудового договора (ст. 68 ТК РФ). Ознакомить работника с документом путем рассылки его по электронной почте нельзя, это не будет считаться ознакомлением под подпись. При отсутствии подписи работника работодатель не сможет доказать, что работник был ознакомлен с данным документом.

Положение о персональных данных, как и любой другой локальный нормативный акт, издается и утверждается приказом, который подписывает руководитель организации или иное уполномоченное на это лицо.

В случае проверки организации, проверяющие органы могут запросить данный документ и проверить, ознакомлены ли с ним работники. Отсутствие такого документа или неознакомление работников с ним может являться основанием для привлечения работодателя к ответственности согласно части 1 статьи 5.27 КоАП РФ, а в случае совершения аналогичного нарушения повторно — по части 2 статьи 5.27 КоАП РФ. Такой вывод также подтверждается судебной практикой (Постановление ФАС Московского округа от 26.10.2006 № КА-А40/10220-06 № А40-20745/06-148-194).

Шаг 2. Работодатель утверждает документ, содержащий перечень персональных данных, которые используются в деятельности организации. В этот документ включаются все сведения, которые работник письменно сообщает о себе при поступлении на работу, а также используемые в дальнейшем при оформлении кадровой документации.

Помимо этого в перечне должны быть указаны документы, содержащие те сведения о сотрудниках, которые организация представляет в различные государственные органы (налоговую и трудовую инспекции, органы статистики).

Шаг 3. Работодатель приказом должен назначить ответственных за работу с персональными данными и ответственных за обеспечение безопасности персональных данных. Таким ответственным может быть как конкретное лицо, так и подразделение. В последнем случае личную ответственность несет руководитель такого подразделения. Этот приказ необходимо довести до сведения всех указанных в нем сотрудников, что должно подтверждаться их подписью.

Шаг 4. На случай проверки во избежание споров с проверяющими лучше подготовить следующие документы:

  • заявления работников о согласии на обработку персональных данных;
  • журналы учета персональных данных, их выдачи и передачи другим лицам и представителям различных организаций, государственным органам;
  • журнал проверок наличия документов, содержащих персональные данные работника.

Шаг 5. Приказом руководителя организации установить перечень мест хранения документации, являющейся носителем персональных данных работников, а также перечень мер, необходимых для обеспечения сохранности персональных данных, порядок их принятия. Все документы, содержащие персональные данные работников, такие как личные дела, картотеки, учетные журналы, следует хранить в специально оборудованных шкафах или сейфах, которые запираются и опечатываются. Трудовые книжки работников нужно хранить в сейфе отдельно от личных дел.

Подведем итоги

Что можно порекомендовать работодателям во избежание привлечения к ответственности, а также дополнительных затрат в случае проведения проверок? Обязательно проверьте:

  • от всех ли работников получено согласие на обработку персональных данных;
  • ознакомлены ли работники с локальными актами, устанавливающими порядок обработки таких данных, и с их правами и обязанностями в этой области;
  • должным ли образом осуществляется хранение и защита персональных данных;
  • соответствует ли документация об их обработке требованиям законодательства и т.д.

>Законный порядок хранения и использования персональных данных работников на бумажных и электронных носителях

Где разрешается хранить?

Итак, начнем с того, что место нахождения персональных данных зависит от их формы. Различают хранение:

  • на бумажном носителе;
  • на электронном носителе.

Практика показывает, что большинство ответственных работодателей дублируют информацию, храня документы как в бумажном варианте, так и в электронном. В том и другом случае информация храниться у работодателя, как правило, в отделе кадров и в бухгалтерии. Они запираются на ключ в пожароустойчивых сейфах. Ключ находится у начальника отдела кадров или главного бухгалтера.

Для бумаг бывших работников, как правило, выделяется архивная комната для длительного хранения. В архиве документы хранятся в алфавитном порядке. Указывается срок сдачи в архив и срок окончания хранения. После истечения установленного срока, документы могут быть уничтожены. Электронную информацию хранят в локальной компьютерной сети.

ВАЖНО! Электронную версию документов нужно обеспечить надежной системой паролей, доступ к которым должен быть у ограниченного круга лиц.

Как правило, на случай сбоя или утери основной базы, создают резервную копию для архива, которую размещают на съемном электронном носителе информации.

Общие правила

Очень важно соблюдать правила хранения, так как в противном случае халатность руководства может привести к нарушению конституционного права граждан на конфиденциальность персонифицированной информации. Статьей 87 ТК РФ установлено, что порядок хранения персональных данных работника должен быть разработан и утвержден работодателями.

При этом они должны учитывать все требования, которые установлены ТК и другими федеральными законами. Основные сроки содержания документов, отражающих информацию о работниках, установлены Приказом Минкультуры 2010 года № 558.

Запомните:

  • Справки, докладные, служебные записки, копии приказов, выписки из приказов, заявления, не вошедшие в состав личных дел ХРАНЯТ 5 ЛЕТ.
  • Сводные расчетные ведомости, расчетные листы на выдачу заработной платы, пособий, гонораров, материальной помощи и др. выплат; доверенности на получение денежных сумм и товарно-материальных ценностей, в том числе аннулированные доверенности о получении заработной платы и других выплат ХРАНЯТ 75 ЛЕТ.
  • Анкеты, автобиографии, листки по учету кадров, заявления, рекомендательные письма лиц, не принятых на работу ХРАНЯТ 3 ГОДА.
  • Переписку по поводу перевода сотрудников ХРАНЯТ 3 ГОДА.
  • Командировочные удостоверения ХРАНЯТ 5 ЛЕТ.

С полным списком документов и сроками их хранения можно ознакомиться в Приложении к вышеназванному Приказу.

Пошаговая инструкция по использованию задокументированных сведений

  1. Обработка и хранение персональных данных на бумажном носителе должна быть проведена на основе законодательства РФ (ст. 24 Конституции, Глава 14 ТК РФ, ФЗ РФ от 27 июля 2006 года № 152 «О персональных данных», Приказ Минкультуры РФ 2010 года № 558, статья 137 УК РФ и др.
  2. Для правильного разграничения персональных данных от данных иного характера должен быть установлен перечень сведений, которые относятся к персональным данным.
  3. При работе с документами, содержащими персональные данные работников, должны быть соблюдены следующие требования:
    • работа с данными должна осуществляться исключительно в целях обеспечения трудовых правоотношений, во исполнение требований действующего законодательства о труде;
    • все документы необходимо запрашивать непосредственно у их обладателя;
    • в случае необходимости запроса документов из других источников, необходимо получение согласия работника на обработку, в письменном виде;
    • если не предусмотрено законом, то работодатель не имеет право запрашивать без согласия подчиненного информацию о личной жизни работника, его религиозных предпочтениях, членстве в политических партиях, профсоюзных организаций;
    • нельзя передавать эту информацию третьим лицам. Работникам выдается ровно та информация, которая необходима для выполнения им поручения.
  4. Часть документов хранится в оригинале: это трудовая книжка, трудовой договор, дополнительные трудовые соглашения, различные приказы руководителя в отношении сотрудника, и т.д. Вторая часть документов предъявляются для ознакомления. С последующим снятием светокопии. Например, свидетельство о браке, свидетельство о рождении детей, паспорт, и др.
  5. Кадровые документы, относящиеся к личному делу, скрепляются в отдельную папку работника. Папки хранятся в алфавитном порядке или разделены согласно подразделениям организации.
  6. Бухгалтерские документы могут обрабатываться и храниться без привязки к работнику, а к функциональному назначению самого документа. Например:
    • документы по заработной плате сохраняться в папке для расчетов оплаты труда;
    • документы для оплаты командировочных – в папке для финансирования дополнительных мероприятий.
  7. Папки с документами размещаются в сейф. Доступ к сейфу имеют руководитель предприятия, начальник отдела кадров, начальник бухгалтерии (подробнее о том, что нужно знать о доступе к персональным данным, читайте ).
  8. Ответственность за проведение инструктажа относительно порядка использования, обращения и хранения данных документов возлагается на кадровиков. Аналогично решается вопрос, где хранить согласие на обработку данных сотрудников.

Более детально о том, как заполнить заявление на обработку и на другие операции с персональными данными работника, читайте , а об обязательстве о неразглашении и других документах узнайте в этом материале.

На электронном носителе

  1. Работа по обработке и хранению персональных данных на электронных носителя также должна основываться на требованиях законодательных актов, указанных выше.
  2. Также как и для бумажных носителей, для электронных носителей должны быть обозначены сведения, которые относятся к персональным данным. Сюда также можно отнести адрес личной электронной почты сотрудника, аккаунты (профиль, учетная запись) в социальных сетях, и др.
  3. Все полученные документы, содержащие персональные данные сканируются и направляются в электронное личное дело работника.
  4. К электронной базе данных имеют доступ: руководитель предприятия, его заместители, работники отдела кадров и бухгалтерии, а также работники информационно-технического отдела (программисты).
  5. Для каждого работника, имеющего доступ к электронной базе создается индивидуальный логин и пароль. При обработке данных (изменение, дополнение, удаление), программное обеспечение сохраняет автоматически данные лица, которое эти манипуляции совершило.
  6. Создается резервная копия базы данных, которая подлежит хранению на съемном носителе. База подлежит обновлению 1 и 15 числа каждого месяца. Если эти числа приходятся на выходной или праздничный день, обновление совершается на следующий за ними рабочий день.

Персональные данные работника стали частым объектом мошенничества. В этой связи законодатель установил основные правила защиты данной информации, а также ответственность за нарушение порядка ее обработки и хранения. Однако следует отметить, что российское законодательство в данной сфере еще достаточно сырое, так как большая часть правил устанавливается не на уровне закона, а локальными нормативными актами.

Роскомнадзор направил организации предписание, в котором указано, что хранение копий личных документов является избыточным при обработке персональных данных работников.
Вправе ли работодатель хранить копии документов, предъявляемых работником при поступлении на работу: копии паспорта, свидетельства ИНН, СНИЛС, документов об образовании?

26 июля 2018

Рассмотрев вопрос, мы пришли к следующему выводу:
Хранение в личных делах работников копии паспорта и других документов, содержащих персональные сведения, не является нарушением закона, если работодатель обеспечил одновременное соблюдение следующих условий:
— от работника получено согласие на хранение его персональных данных, указанных в копиях документов, необходимость обработки которых не обусловлена достижением целей, поименованных в п.п. 2-11 ч. 1 ст. 6 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных»;
— работодателем заранее определены конкретные цели хранения персональных данных, содержащихся в копиях документов работников, при этом такие цели не противоречат законодательству;
— объем персональных данных, указанных в копиях документов работника, не превышает объем данных, которые работодателю необходимо использовать в соответствии с заявленными целями обработки.
Если эти условия не соблюдаются (например, хранение копий личных документов работника не обусловлено необходимостью достижения конкретных, заранее определенных и законных целей обработки персональных данных), хранение копий таких документов противоречит требованиям законодательства.

Обоснование вывода:
Закон не содержит прямого запрета на копирование работодателем документов, предоставляемых работником при приеме на работу и в процессе трудовой деятельности, а также на хранение работодателем копий этих документов.
Вместе с тем указанные документы содержат персональные данные работника, а действия работодателя по копированию документов работника и хранению копий этих документов подпадают под понятие «обработка персональных данных» (ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных», далее — Закон N 152-ФЗ). Таким образом, само по себе наличие у работодателя копий документов работников не нарушает законодательство, если работодателем соблюдаются требования законодательства, предъявляемые к сбору и хранению персональных данных работников. Аналогичный вывод следует и из разъяснений специалистов Роструда (смотрите ответ на вопрос 1, ответ на вопрос 2, ответ на вопрос 3, размещенные на информационном портале Роструда «Онлайнинспекция.РФ»).
Статья 86 ТК РФ предоставляет работодателю право обрабатывать персональные данные работника исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, получении образования и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества.
В соответствии с ч. 1 ст. 6 Закона N 152-ФЗ обработка персональных данных может осуществляться только в установленных данной статьей случаях. Одним из таких случаев является получение от субъекта персональных данных согласия на их обработку (п. 1 ч. 1 указанной статьи). Буквальное толкование данной нормы позволяет заключить, что в иных случаях получение согласия на обработку персональных данных не требуется. В частности, п. 5 ч. 1 ст. 6 Закона N 152-ФЗ допускает обработку персональных данных в случаях, когда такая обработка необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных. Также согласно п. 2 ч. 1 ст. 6 Закона N 152-ФЗ допускается обработка персональных данных, если она необходима, в частности, для достижения целей, предусмотренных международным договором РФ или законом, для осуществления и выполнения возложенных законодательством РФ на оператора функций, полномочий и обязанностей.
Согласно ч. 1 ст. 9 Закона N 152-ФЗ согласие на обработку персональных данных должно быть конкретным, информированным и сознательным. По смыслу разъяснений Роскомнадзора от 14.12.2012 «Вопросы, касающиеся обработки персональных данных работников, соискателей на замещение вакантных должностей, а также лиц, находящихся в кадровом резерве» конкретным и информированным является такое согласие субъекта персональных данных, которое содержит не только информацию, позволяющую однозначно сделать вывод об объеме обрабатываемых персональных данных и способах обработки с указанием действий, совершаемых с персональными данными, но и информацию о целях обработки таких данных.
Ограничение обработки персональных данных достижением конкретных, заранее определенных и законных целей и недопустимость обработки персональных данных, не совместимой с целями их сбора, является одним из принципов обработки персональных данных. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки (ч.ч. 2, 5 ст. 5 Закона N 152-ФЗ).
Обобщая приведенные нормы, мы приходим к выводу о том, что для законного хранения копии паспорта и других документов, содержащих персональные сведения работников, работодатель должен обеспечить одновременное соблюдение следующих условий:
— от работника должно быть получено согласие на хранение его персональных данных, указанных в копиях документов, необходимость обработки которых не обусловлена достижением целей, поименованных в п.п. 2-11 ч. 1 ст. 6 Закона N 152-ФЗ (не требующих согласия субъекта персональных данных на их обработку);
— работодателем должны быть заранее определены конкретные цели хранения персональных данных, содержащихся в копиях документов работников, при этом такие цели не должны противоречить законодательству;
— объем персональных данных, указанных в копиях документов работника, не должен превышать объем данных, которые работодателю необходимо использовать в соответствии с заявленными целями обработки.
Как показывает судебная практика, при хранении копий документов, предоставленных работниками при приеме на работу или в процессе их трудовой деятельности, есть вероятность возникновения претензий со стороны контролирующих органов в связи с избыточностью обрабатываемых работодателем персональных данных работников. Так, в некоторых случаях суды признают незаконным хранение работодателем копий документов работников, в частности копии паспорта, свидетельства о присвоении ИНН, СНИЛС, военного билета и т.д., даже при наличии согласия работника на обработку его персональных данных (смотрите, например, постановления ФАС Северо-Кавказского округа от 21.04.2014 N Ф08-1921/14 и от 11.03.2014 N Ф08-480/14, Пятнадцатого арбитражного апелляционного суда от 14.03.2014 N 15АП-22502/13, Семнадцатого арбитражного апелляционного суда от 10.06.2015 N 17АП-5329/15).
Поэтому для того, чтобы ответить на вопрос о законности хранения упомянутых документов, необходимо прежде всего определить, для достижения каких конкретных, заранее определенных и законных целей работодатель хранит копии личных документов работника. Если такие цели отсутствуют или хранение копий паспорта, свидетельства с указанием ИНН, документов об образовании и т.д. является избыточным с точки зрения достижения целей обработки персональных данных работников, хранение таких копий противоречит требованиям закона. В этом случае, как мы полагаем, работодателю следует вернуть копии документов работнику или уничтожить их (ст. 21 Закона N 152-ФЗ).

Ответ подготовил:
Эксперт службы Правового консалтинга ГАРАНТ
Ерин Павел

Ответ прошел контроль качества

Хранение персональных данных работника

Организовать хранение персональных данных работника – обязанность работодателя. Причем само хранение – часть обработки персональных данных работника. И один из элементов защиты таких данных. Поэтому в случаях, установленных законодательством РФ, работодатель должен получить от работника согласие на обработку персональных данных. Информацию о случаях, когда такое согласие не требуется, мы на сайте также раскрыли.

Как организовать хранение персональных данных работника

Согласно ст. 88 Трудового кодекса РФ (глава 14 ТК РФ посвящена обязанностям и правам работника и работодателя в сфере персональных данных) работодатель за свой счет обязан реализовать меры по защите персональных данных. Защищает он их от неправомерного использования или утраты. Работодатель принимает локальные акты (приказ об утверждении положения о персональных данных, о назначении ответственного за обработку данных, устанавливает доступ к персональным данным). Очевидно, что до обезличивания персональных данных или их уничтожения, работодатель обязан хранить данные с учетом требований ограниченного доступа и защиты от несанкционированного использования.

Организация хранения ПД работника работодатель описывает в определенном документе. может Это может быть положение о персональных данных. Или в специальный акт (об организации хранения). На практике, удобно все особенности обработки данных прописать в одном документе. А с его текстом работодатель обязан ознакомить каждого работника. Передача персональных данных работника третьему лицу (вне организации) допускается только с согласия работника.

В каком помещении хранить личные сведения

Закон о персональных данных и Трудовой кодекс РФ не устанавливают требования к помещению, в которых хранятся персональные данные. Работодатель вправе предусмотреть хранение данных в отдельном помещении здания. Может даже организовать туда ограниченный доступ. Однако есть постановление Правительства РФ от 15.09.2008 г. № 687. Оно посвящено особенностям обработки данных, которая осуществляется без использования средств автоматизации. То есть с участием человека.

Этот акт содержит требованием: персональные данные должны быть обособлены от иной информации. В том числе хранятся на отдельных материальных носителях. Причем для каждой категории персональных данных используется свой носитель. Как и для данных, обработка которых связана с разными целями.

Обращаем внимание, что документы воинского учета с персональными данными хранятся только в железных шкафах в специально оборудованных помещениях.

На практике работодатель создает личное дело каждого работника. Его хранят в отдельном шкафу или помещении. Сотрудники кадрового отдела или иные лица, которым работодатель разрешил доступ. Этот шкаф или помещение должны быть обеспечены защитой – замок, опечатывание и т.п. Трудовые книжки следует хранить в сейфе, отдельно от личных дел.

При хранении персональных данных работника можно использовать журнал учета персональных данных.

Хранение персональных данных: закон 2019, нюансы, рекомендации

Из этого материала вы узнаете:

  • Что такое персональные данные
  • Что указано в законе о хранении персональных данных
  • Каковы плюсы и минусы хранения персональных данных в электронном виде
  • В чём особенности хранения персональных данных работников в организации в электронном и бумажном носителе в 2019 году

Хранение персональных данных — задача не сложная, однако требующая от исполнителя четкого соблюдения всех правил и норм. К тому же, если их нарушить, можно получить крупный штраф. Законодательство РФ регулирует отношения в области хранения и обработки личных данных человека. Следовать данным нормам и правилам важно, вдобавок необходимо постоянно актуализировать эту информацию. Законы часто подвергаются изменениям, а также в них регулярно вносятся поправки. Из нашей статьи вы сможете узнать всю необходимую информацию относительно хранения и обработки личных данных человека.

Что такое персональные данные

Персональные данные, они же личные данные (далее по тексту ПД и ЛД), — информация, которая непосредственно связана с конкретным человеком.

Нашу жизнь уже невозможно представить без автоматизированных систем управления. Данные физических лиц постоянно попадают в различные базы и часто из них плавно утекают.

Чтобы защитить данную информацию физического лица, был создан федеральный закон, регулирующий порядок хранения и использования персональных данных.

Такое понятие, как персональные данные, — прежде всего юридический термин, нежели технический.

Как следствие, стала проще процедура защиты и снизились риски проникновения в личные данные сторонних лиц.

На сегодняшний день обработкой данных физлиц занимаются:

  • Банки.
  • Работодатели.
  • Органы государственной власти.
  • Другие организации, работа которых налагает обязанности по сбору и хранению персональных данных человека.

Работа с данной информацией обязательно должна быть организована с учетом всех норм и правил независимо от задач, требующих использования данной информации.

Среднестатистический человек чаще всего предоставляет свои личные данные для обработки в банковские учреждения. И в случае если становятся очевидны нарушения его прав, выход из положения — только судебные разбирательства. Одно неверное действие может привести к фатальным последствиям.

Рекомендуем

«Аутсорсинг персонала: виды, плюсы и минусы»

Желательно перед посещением учреждений, требующих предоставления личной информации — изучить нормативные акты, регулирующие обработку личных данных. Это даст вам возможность самостоятельно проконтролировать свои права в полном объеме.

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» в ст. 3 дает определение персональным данным. Исходя из него ПД — любая информация, которая прямо или косвенно относится к субъекту ПД — определенному или определяемому физлицу (дальше по тексту — закон о персональных данных).

К общим личным данным относятся такие сведения, как:

  • ФИО;
  • место и дата рождения;
  • адрес места жительства (регистрации);
  • профессия, уровень образования;
  • фото человека (видеозаписи), которые позволяют установить личность и с этим умыслом использоваться оператором (разъяснения Роскомнадзора от 30.08.2013 года «О вопросах отнесения фотографий, видеозаписей, дактилоскопических данных и других сведений к биометрическим личным данным и особенностей их обработки»);
  • наличие детей, семейное положение, ближайшие родственники;
  • предыдущие места работы, армейская служба, работа на выборных должностях, государственная служба, наличие судимости и другие факты из биографии;
  • информация об уровне заработной платы тоже относится к личным данным (письмо Роскомнадзора от 07.02.2014 № 08КМ-3681);
  • оценка личностных качеств человека, его навыки в работе и др.;
  • иные сведения, идентифицирующие человека.

Помимо данной информации, в законе о персональных данных упоминаются:

  • индивидуальные личные данные (раса, национальная принадлежность, политические взгляды, религиозные или философские убеждения, состояние здоровья, интимная жизнь). Обработка таких данных запрещена. Исключением могут стать ситуации, предусмотренные ч. 2 ст. 10 закона о персональных данных;
  • биометрические личные данные (к ним относятся физиологические и биологические качества человека, идентифицирующие его личность). Чтобы обработать такую информацию, нужно получить согласие носителя личных данных. Исключением могут стать случаи, предусмотренные ч. 2 ст. 11 закона о персональных данных.

Закон о хранении персональных данных

Гражданин Российской Федерации имеет полное право призвать к соблюдению ФЗ о защите личных данных любую организацию. Эти сведения являются личными, и поэтому без разрешения физического лица их обработка недопустима. Только государственным органам разрешается не получать у физических лиц письменное согласие на хранение их персональных данных. В остальных случаях нарушение карается строго по закону.

Каждый год в ФЗ о персональных данных вносятся поправки. Работа с личными данными имеет много особенностей, в связи с этим важно заранее разобраться во всех тонкостях, дабы не допустить банальных ошибок.

Рекомендуемые статьи по данной теме:

  • Хобби как бизнес: +30 идей для запуска
  • Пример предложения о сотрудничестве: просто следуйте инструкциям!
  • Ключевые факторы успеха: будем умнее, чем Буратино

Данный момент по возможности нужно будет заранее разобрать: только так можно не допустить стандартных ошибок. Процесс этот имеет множество различных нюансов, тонкостей. Несоблюдение закона для юрлиц карается штрафом в несколько сотен тысяч рублей. Штрафы также налагаются и на должностных лиц — здесь размеры выплат начинаются от нескольких тысяч рублей.

Статья 87. Хранение и использование персональных данных работников:

  1. Ст. 5 федерального закона «О персональных данных» требует осуществлять хранение личной информации о человеке в форме, позволяющей идентифицировать субъекта личных данных. А также хранить данные столько времени, сколько необходимо для их обработки. После решения всех поставленных задач, для которых собиралась данная информация, ее нужно ликвидировать.

    Согласно ст. 6 федерального закона «О персональных данных» при передаче личных данных человека для обработки другому уполномоченному на это лицу важно прописать в договоре обязательства, которые обязуют указанное лицо обеспечить конфиденциальность и полную безопасность личных данных во время всех манипуляций.

  2. В Едином квалификационном справочнике должностей руководителей, специалистов и других служащих, утвержденном постановлением Минтруда России от 21 августа 1998 г. N 37*(116), в графе должностных обязанностей некоторых руководителей, а также специалистов можно увидеть информацию о том, что осуществление их трудовых функций основано на использовании личных данных работников.

На кого распространяется действие федерального закона «О персональных данных»?

Показатели

Описание

Физические лица

Их личные данные подвергаются обработке

Юридические лица или другие субъекты права

Они осуществляют сбор, обработку и хранение данных

В каждом договоре, где указываются ФИО человека, в обязательном порядке должен присутствовать раздел об обработке личных данных. Без письменного разрешения гражданина работать лично, а также передавать данные для обработки другим лицам запрещено.

Этим правилам необходимо следовать при работе с такими видами договоров, как:

  • кредитный;
  • трудовой;
  • о возмездном оказании услуг и др.

При работе со всеми видами договоров, указанных выше, необходимо брать у человека письменное согласие на обработку его личной информации. Подобное правонарушение влечет за собой юридическую ответственность. Именно поэтому важно своевременно знакомиться со всеми изменениями законодательства, связанного со сбором, обработкой, хранением личных данных человека.

При отказе заемщика возвращать полученную сумму кредита в срок и в порядке, предусмотренном кредитным договором, банки, как правило, передают задолженность клиента коллекторским агентствам. Это явное правонарушение с их стороны.

В такой ситуации гражданин вправе обратиться в ЦБ РФ, ведь именно там осуществляется контроль над работой банков. Дальнейшие шаги заемщика ведут в суд. Если опыта в составлении исков нет (а это нелегкая задача), лучше обратиться к специалистам. К тому же цена за подобную услугу у юристов небольшая. Помимо составления иска, специалист поможет собрать весь комплект документов, необходимых для судебных разбирательств.

Здесь главное не попасть в руки авантюристам, которых в данной области предостаточно. Перед подписанием договора на оказание юридических услуг важно его тщательно изучить.

Как уже говорилось ранее, законодательство в сфере защиты личных данных часто подвергается поправкам. Так, например, 01.07.2019 вступили в силу значительные изменения — в первую очередь нужно ознакомиться с ними, а потом уже подписывать договоры с юристами. Только в этом случае можно избежать ошибок.

Важно подчеркнуть: допущение ошибок вполне может послужить причиной признания договора целиком и полностью недействительным. Исходя из этого, важно заблаговременно разобраться во всех нормативно-правовых актах в данной сфере.

Все подробности относительно личных данных человека отражены в федеральном законе «О персональных данных». Хорошая осведомленность в области нормативных актов даст возможность самостоятельно разобраться во всех нюансах, а значит, риск допущения ошибок будет минимальным.

Вот основные моменты, которые важно тщательно проработать перед заключением каких-либо договоров:

  • специфика обработки личных данных;
  • существенные ошибки;
  • новые штрафные санкции;
  • основные моменты;
  • какими нормами законодательства регулируется.

Что значит обработка персональных данных

Согласно ст. 3 закона о персональных данных обработка личных данных — совокупность действий, связанных с личными данными. Операции могут совершаться с применением средств автоматизации или без них. Любая деятельность с использованием ПД охватывает все процессы и стадии работы с ними, а это: сбор, систематизация, запись, хранение, накопление, конкретизация (изменение, обновление), извлечение, применение, делегирование (распространение, предоставление, доступ), блокирование, обезличивание, ликвидация данных.

Работодатели, согласно закону о персональных данных, обязаны соблюдать требования к хранению персональных данных. Чтобы исключить все случаи, которые могут привести к судебным разбирательствам, следует получать от каждого претендента на должность письменное согласие на обработку его данных.

Законом предусмотрены некоторые случаи, при которых письменная форма согласия обязательна к применению (часть 4 ст. 9 закона о ПД). Это относится к таким ситуациям:

1) При передаче личных данных соискателя от третьей стороны (п. 3 ст. 86 Трудового кодекса РФ). В такой ситуации работника необходимо заблаговременно предупредить об этом и взять с него письменное согласие на обработку и хранение информации (п. 3 ст. 86 Трудового кодекса РФ).

В бланке, где соискатель дает свое согласие, нужно указать (п. 3 ст. 86 Трудового кодекса РФ):

  • цель получения личных данных соискателя у третьих лиц;
  • предполагаемые ресурсы приобретения информации (лица, у которых запрашиваются данные);
  • методы получения данных, их основные особенности;
  • вероятные последствия отказа работодателя в получении личных данных соискателя у третьего лица. При отказе работника изучить уведомление о возможном получении его личных данных у другого лица разумным будет составить соответствующий акт.

Если соискатель решил отозвать согласие на обработку своих личных данных, он имеет на это полное право (часть 2 ст. 9 закона о персональных данных).

Работа с его личными данными в такой ситуации возможна только при наличии веских оснований. Они указаны в п. 2 — ч. 11 ст. 1, ч. 2 ст. 10, ч. 2 ст. 11 закона о персональных данных (ч. 2 ст. 9 закона о ПД).

Топ-5 статей, которые будут полезны каждому руководителю:

  • 32 способа привлечения клиентов: проверенные и нестандартные
  • Оптимизация бизнес-процессов на раз-два-три: ликбез для руководителей
  • Кейсы для бизнеса: что это и как их создают
  • Методы снижения затрат в компании и на предприятии без малых жертв
  • Лучшие бизнес-идеи на 2019 год: оффлайн и онлайн

Существует и такая информация, которую работодателям запрещено требовать у третьих лиц, даже если соискатель дает согласие. Та, что не связана с перечисленными в пункте 1 статьи 86 Трудового кодекса РФ задачами.

2) При передаче личных данных соискателя третьим лицам, кроме ситуаций, когда это нужно для предотвращения угрозы жизни и здоровью работника (абзац 2 статьи 88 Трудового кодекса Российской Федерации).

3) Для обработки отдельных категорий личных данных работника, напрямую связанных с вопросами трудового характера (п. 4 ст. 86 Трудового кодекса РФ, п. 1 ч. 2 ст. 10 закона о персональных данных). К ним можно причислить информацию о расе, национальности, религии, политических взглядах, философских убеждениях, показателях здоровья, интимных отношениях.

В том случае, если работник признан недееспособным, письменное разрешение на обработку его данных дает его законный представитель (опекун, родитель) (ч. 6 ст. 9 закона о персональных данных). А в случае ухода из жизни работника такое согласие оформляют его наследники, если, конечно, оно не было подписано самим работником при его жизни (ч. 7 ст. 9 закона о персональных данных).

Не при всех обстоятельствах требуется разрешение работника на обработку его личных данных. Так, если данные получены (п. 2 ч. 1 ст. 6, п. 2.3 ч. 2 ст. 10 закона о персональных данных, абзац 1 разъяснений Роскомнадзора):

  • из документов (материалов), предоставляемых работником при оформлении трудового договора;
  • по результатам обязательного предварительного медосмотра состояния здоровья (ст. 69 Трудового кодекса РФ, п. 3 разъяснений Роскомнадзора от 14 декабря 2012 года «Вопросы, которые касаются обработки личных данных работников, соискателей на замещение вакантных должностей, а также лиц, состоящих в кадровом резерве», далее — разъяснения Роскомнадзора от 14.12.2012);
  • в количестве, установленном специальной формой № Т-2, включая личные данные близких родственников, и в других случаях, предусмотренных законодательством РФ (взыскание алиментов, получение доступа к гостайне, оформление соцвыплат) (пункт 2 разъяснений Роскомнадзора от 14.12.2012);
  • от рекрутингового агентства, работающего от имени соискателя (абзац 12 п. 5 разъяснений Роскомнадзора от 14.12.2012);
  • от лица самого человека, который выложил свою анкету в Интернете во время поиска работы, сделав ее доступной всем (пункт 10 часть 1 статьи 6 федерального закона от 27.07.2006 № 152-ФЗ, абзац 12 пункт 5 разъяснений Роскомнадзора от 14.12.2012);

то работодатель с разрешения соискателя может передать на обработку его личные данные другому лицу (часть 3 статьи 6 закона о ПД, абзац 2 пункт 5 разъяснений Роскомнадзора от 14.12.2012). Несмотря на это, работодатель все равно остается ответственным перед соискателем за действия третьего лица (часть 5 статьи 6 закона о ПД).

Плюсы и минусы хранения персональных данных в электронном виде

В электронном виде информация с личными данными хранится при помощи информационных систем и специально предназначенных для этого баз.

Плюсы хранения сведений о человеке в электронном виде:

  • не нужны дополнительные ресурсы;
  • не расходуется место и пространство;
  • быстро и комфортно работать с личными данными;
  • высокая защищенность от несанкционированного проникновения;
  • можно хранить сколько угодно времени;
  • нет необходимости в архивации.

Минусы хранения данных на электронном носителе:

  • нужно создавать резервные копии баз данных работников;
  • немалая стоимость программ и оборудования;
  • требуется управление информационными системами;
  • необходима высочайшая квалификация сотрудника, который будет работать с личными данными.

Чтобы обезопасить личные данные, хранящиеся в электронном виде, можно применять такие способы, как:

  • внедрение разрешительной системы доступа сотрудников к закрытой информации;
  • запрещение доступа сотрудников в помещения, где расположены технические средства, применяемые для обработки личных данных;
  • отлаженная система организации хранения и учета информационных носителей и т. д.

Хранение персональных данных работников в организации на электронном и бумажном носителе в 2019 году

Каждое устройство на работу подразумевает под собой передачу и хранение персональных данных работника работодателю. На первом этапе оформления трудовых отношений передаются такие данные, как фамилия, имя, отчество, дата рождения, адрес постоянного места жительства, гражданство, наличие семьи и детей, образование и т. д.

Если сотрудник продолжает работу на том же предприятии, его личное дело пополняется разнообразными документами: приказами о трудоустройстве, трудовым соглашением, первоначальными документами по зарплате, актами о премировании и другими. Где и каким образом предприятие хранит личные данные сотрудников?

1. Где разрешается хранить?

Места хранения персональных данных работника находятся в прямой зависимости от их формы. Существует 2 варианта хранения данных человека:

  • в бумажном виде;
  • в электронном виде.

Когда мы имеем дело с ответственным работодателем, то у него обычно дублируется информация. Данные хранятся в бумажном виде и в электронном. В обоих случаях данные обычно находятся у работодателя в кадровом отделе или же в бухгалтерии. Они закрываются ключом в пожароустойчивых сейфах. Ключ хранится у начальника кадрового отдела или главного бухгалтера.

Данные по сотрудникам, которые уже не работают на предприятии, чаще всего передаются в архив. Это отдельная комната для хранения информации. Там документы располагаются в алфавитном порядке, с указанием даты помещения в архив и даты окончания хранения. По истечении указанного времени данные подлежат уничтожению.

«Персонализированный поиск: что такое и для чего он нужен»

Сведения, находящиеся в электронном виде, хранят в локальной компьютерной сети.

Важно: данный формат электронных документов нуждается в обеспечении надежной системой безопасности в виде паролей, доступ к которым должен быть у ответственных сотрудников. Чтобы не утратить всю информацию в случае сбоя или потери главной базы, формируют резервную копию для архива. Ее располагают на съемном электронном носителе информации.

2. Общие правила

Следовать правилам хранения персональных данных крайне важно, иначе халатное отношение к делу со стороны руководства может повлечь за собой нарушение конституционного права человека на конфиденциальность личных данных. Статья 87 Трудового кодекса РФ гласит, что порядок хранения персональных данных сотрудника должен быть подготовлен и утвержден самим работодателем.

Причем он должен учесть все требования, которые отражены в Трудовом кодексе и иных федеральных законах. В приказе Минкультуры от 25 августа 2010 года № 558 указаны основные сроки хранения сведений о работниках, которые образуются в процессе деятельности предприятия.

Рассмотрим сроки более подробно:

  • Докладные и служебные записки, справки, приказы и их копии, а также выписки из приказов, заявления, которые не вошли в личные дела, хранятся в течение 5 лет.
  • Расчетно-платежные ведомости, расчетные листки по зарплате, а также информация о предоставленных пособиях, гонорарах, материальной помощи сотрудникам хранятся 5 лет, а если в документах отсутствуют лицевые счета — 75 лет.
  • Доверенности на получение денег и ТМЦ, в том числе расторгнутые доверенности на получение зарплаты и иных выплат. Данный вид сведений хранится в течение 5 лет.
  • Личные листки по учету кадров, анкеты для приема на работу, заявления, автобиографии, письма-рекомендации соискателей, которых не трудоустроили в организацию, хранят 3 года.
  • Письма о переводах сотрудников. Данный вид информации хранится 3 года.
  • Удостоверения для командировок хранят 5 лет.

3. Подробное руководство по применению задокументированной информации

  • Организовывать правильный подход к работе с личными данными человека, а также их хранение в бумажном формате необходимо на основании законов РФ: ст. 24 Конституции, гл. 14 Трудового кодекса РФ, ФЗ РФ от 27 июля 2006 года № 152 «О персональных данных», приказе Минкультуры РФ от 2010 года № 558, статьи 137 Уголовного кодекса РФ и др.
  • Для отделения личных данных от другой информации рекомендуется составлять подробный список-памятку сведений, которые можно отнести к личным данным.
  • Во время работы с личными данными сотрудников важно соблюдать следующие правила:
  • Использовать информацию следует только в целях обеспечения трудовых отношений с учетом требований действующего трудового законодательства.
  • Все сведения нужно запрашивать именно у их носителя.
  • В ситуации, когда запрос документов все-таки нужно осуществить из иных источников, крайне важно получить письменное разрешение сотрудника на обработку.
  • Работодателю запрещено запрашивать данные об интимной жизни своих сотрудников, их религии, участии в политических партиях, профсоюзах без разрешения работника, если иное не предусмотрено законодательством.
  • Не разрешается передавать эти сведения третьим лицам. Работникам выдается исключительно та информация, которая нужна, чтобы выполнить порученное им задание.
  • Некоторые документы хранятся в оригинальном виде: трудовой договор, трудовая книжка, допсоглашения, разнообразные приказы руководства сотруднику и др. Еще часть документов сотрудник предоставляет только для изучения или снятия копии. К ним относятся свидетельства о рождении детей, свидетельство о заключении брака, документ, удостоверяющий личность, и др.
  • Документы отдела кадров, связанные с личным делом, складываются в отдельную папку сотрудника. Папки распределяются по подразделениям компании и складываются в алфавитном порядке. Документы отдела бухгалтерии можно обрабатывать и хранить без привязки к сотруднику. Организовывать хранение такого рода документов необходимо согласно функциональным назначениям. К примеру:
  • расчетные листки по зарплате складываются в папку для расчетов оплаты труда;
  • командировочные документы — в папке для оплаты дополнительных мероприятий.
  • Папки со всеми документами помещают в сейф, доступ к которому должен быть предоставлен исключительно руководству организации, начальнику кадрового отдела, главному бухгалтеру.
  • Отдел кадров несет ответственность за инструктаж касательно порядка применения, обращения и хранения данных. Точно так же решается вопрос относительно хранения разрешения на обработку данных работника.

4. Хранение информации на электронных носителях

  • Любые действия, относящиеся к обработке и хранению личной информации сотрудника на электронном носителе, должны формироваться на указаниях актов законодательства, перечисленных выше.
  • По аналогии с бумажными носителями для электронных необходимо обозначать сведения, которые относятся к личным данным. Сюда относится такая информация, как личный адрес электронной почты работника, аккаунт (учетная запись, профиль) в соцсетях и т. д.
  • Все принятые документы, которые содержат личную информацию сотрудника, сканируются и отправляются в его электронное личное дело.
  • Допуск к базе данных в электронном формате должен быть предоставлен только руководителям организации, их заместителям, сотрудникам кадрового отдела и бухгалтерии, а также программистам.
  • Тем, кому разрешен доступ к электронной базе, предоставляется личный логин и пароль. В этом случае программа сможет автоматически запомнить сотрудника, вносившего какие-либо изменения в личные данные.
  • Обязательно нужно создавать, хранить и обновлять резервную копию базы данных на съемном носителе. Освежать эту информацию следует 1 и 15 числа каждого месяца. В случае если указанные даты выпадают на праздничный или выходной день, все манипуляции переносятся на следующий рабочий.

Личные данные человека часто подвергаются мошенническим действиям. По этой причине законодательно установлены основные правила защиты данной информации. Помимо этого, закон подробно описывает ответственность за нарушения в сфере обработки и хранения ПД. Вместе с тем важно отметить, что законы РФ в данном направлении еще сыроваты. Связано это с тем, что основная часть правил устанавливается на уровне локальных нормативных актов.

Система защиты при хранении персональных данных

Каким образом уберечь личные сведения человека? Федеральным законом № 152 установлены определенные меры по организации защиты личных данных человека:

  • меры, установленные законом, — государство обязует уполномоченного сотрудника, занимающегося обработкой информации, производить определенные манипуляции, одновременно запрещая некоторые из них;
  • технические — уполномоченный сотрудник предпринимает ряд мер, которые значительно усложняют проникновение иных лиц к личным данным о человеке.

Есть много методов хранения персональных данных о сотрудниках. К ним относятся замена цифровых данных, сокращение информации, распределение ее на хранение в нескольких местах.

Срок хранения персональных данных

Положение о хранении персональных данных устанавливает среди всех видов обработки персональных данных следующий порядок — ПД не должны храниться больше времени, чем потребуется для операции с информацией.

Вместе с тем период хранения данной информации в некоторых случаях закрепляется ФЗ России с помощью договора с субъектом, владеющим персональными данными. Оператор устанавливает конкретные временные рамки или вписывает условие для прекращения хранения и переработки персональных данных.

«Делегирование полномочий без досадных ошибок»

Закон «О персональных данных» правительства РФ (ст. 14) сообщает о временных сроках обработки ПД, относящихся к тем видам сведений, которые оператор в обязательном порядке предоставляет субъекту при соответствующем запросе последнего.

Штрафы за нарушение хранения персональных данных

Существует три типа ответственности, предусмотренной законодательством РФ:

  • гражданско-правовая закрепляется в соглашении или договоре, которые человек заключает с оператором персональных данных, и носит главным образом денежный характер;
  • административная ответственность устанавливается Кодексом об административных правонарушениях Российской Федерации и сопровождается предупреждением, штрафными санкциями;
  • уголовная ответственность возникает при тяжких нарушениях законодательства. Чаще всего к виновнику предъявляются или штрафные санкции, или уголовная статья, предусматривающая ограничение свободы.

Штрафы, предусмотренные за несоблюдение законодательства о персональных данных:

Показатели

Описание

По Кодексу об административных правонарушениях РФ

  • для граждан — в размере до 500 рублей;
  • для должностных лиц — от 500 до 1 тыс. рублей;
  • для юридических лиц — до 30 тыс. рублей.

Согласно ст. № 137 Уголовного кодекса РФ

  • в размере 200 тыс. рублей либо доход за период длительностью 18 месяцев — для физических лиц;
  • принудительные работы;
  • арест.

Чего ждать бизнесу от закона о хранении персональных данных?

Принятый закон «О внесении изменений в отдельные законодательные акты Российской Федерации (в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях)» затрагивает не только Федеральный закон №152 «О персональных данных» о местах хранения баз данных с персональными данными россиян, но и другие аспекты, относящиеся к законодательству о персональных данных.

В 152-ФЗ изменения коснулись ст. 18 «Обязанности оператора при сборе персональных данных» (оператор при сборе персональных данных россиян, в том числе через интернет, должен хранить их в базах данных, расположенных на территории РФ), а также ст. 22 «Уведомление об обработке персональных данных» (о том, что нужно уведомлять контролирующий орган Роскомнадзор о месте хранения баз данных).

Также в принятом законе Роскомнадзор наделяется полномочиями вести реестр нарушителей прав субъектов персональных данных, ограничивать доступ к информации, обрабатываемой с нарушением законодательства о персональных данных, возможностью блокировать ресурсы. И, нужно сказать, что формально контролирующий орган уже наделен таким правом по 139-ФЗ. Например, 8 июля Роскомнадзором был заблокирован сайт telkniga.com с номерами сотовых телефонов россиян.

На кого повлияет закон о хранении персональных данных на территории РФ?

Прежде всего, закон должен коснуться крупных российских компаний, хранящих персональные данные за границей. Им необходимо будет переносить свои дата-центры на территорию России, что потребует больших финансовых затрат. Ведь хостинг на зарубежных ресурсах значительно дешевле. Поэтому можно предположить, что некоторые компании захотят сэкономить и попытаться обойти закон. Например, создавать копии лишь части базы данных и продолжать хранить основную базу за границей. Технически очень сложно определить, что данные хранятся не на территории России. Отсюда возникает вопрос, каким образом контролирующий орган будет отслеживать выполнение закона, это кажется нетривиальной задачей. Но многие российские компании, для которых важен имидж, которые стремятся соблюсти все требования законодательства, будут размещать базы данных на территории нашей страны.

Рассмотрим, на кого еще может распространяться принятый закон. Согласно 152-ФЗ, законодательство о персональных данных распространяется на российских операторов и, в соответствии с разъяснениями Роскомнадзора, на представительства иностранных юридических лиц, ведущих свою деятельность на территории РФ. То есть на иностранные компании, осуществляющие сбор персональных данных россиян, в том числе с помощью информационно-телекоммуникационной сети «Интернет», действие 152-ФЗ не распространяется.

Если же взять какой-нибудь отель в Турции, на сайте которого происходит сбор персональных данных россиян, то доступ к нему будет ограничен из-за несоблюдения требований нашего законодательства. Но одно дело, когда это касается сайта какого-то небольшого отеля, а другое — когда речь идет о сайте крупной компании. Отелю для выполнения российского законодательства не имеет смысла переносить базу данных на территорию РФ с рациональной точки зрения, так как для него это будут слишком большие финансовые затраты. Но такие корпорации, как Microsoft, IBM, EMC и многие другие, захотят продолжить работать на российском рынке и постараются сохранить клиентов, создавая дата-центры или арендуя уже существующие. И в этом можно увидеть положительный момент: создание дата-центров на территории России повлечет развитие отечественной IT-индустрии.

Как изменится контроль над обработкой персональных данных?

Подписанный закон также вносит изменения в Федеральный закон №294 «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля», выводя из-под действия этого закона контроль и надзор за обработкой персональных данных, за соблюдением требований в связи с распространением информации в информационно-телекоммуникационной сети «Интернет». Это значит, что если сейчас Роскомнадзор может прийти в компанию с проверкой только один раз в три года (это регулируется 294-ФЗ), то c вступлением закона в силу с 1 сентября 2016 года он может делать это в любой момент. При этом станет необязательной публикация Роскомнадзором плана проверок на следующий год, и, следовательно, компании даже не будут знать, когда к ним придут с проверкой. Для обычных компаний малого и среднего бизнеса это изменение более существенно по сравнению с изменениями, касающимися хранения персональных данных на территории России.

В последнее время российское законодательство активно меняется, особенно в области персональных данных. И есть вероятность того, что закон, который вступит в силу 1 сентября 2016 года, все же претерпит некоторые изменения. Тем более что сейчас в нем действительно много неясных моментов, помимо перечисленных.

Елена Республиканская , эксперт продукта Контур.Персональные данные

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *