МИНИСТЕРСТВО ОБРАЗОВАНИЯ И НАУКИ РОССИЙСКОЙ ФЕДЕРАЦИИ
ФГБОУ ВПО «Уральский государственный экономический университет»
Центр дистанционного образования
ПЕРСОНАЛЬНЫЕ ДАННЫЕ РАБОТНИКА
Курсовая работа по трудовому праву
Исполнитель: студент(ка)
Направление (профиль):
Юриспруденция
Гражданско-правовой
Группа: ЮР-16ПЗ
Ф.И.О: Нифантова А.В.
Екатеринбург
2018
СОДЕРЖАНИЕ
Введение ……………………………………………………………………………….3
Глава 1 Общие положения о персональных данных работника
- Понятие персональных данных. Документы, содержащие персональные данные ………………………………….……………………………………...4-6
- Право работников на защиту персональных данных …………………………………………………….……...………………….....6-8
- Ответственность за несоблюдение законодательства о защите персональных данных ………………………………..………………………….…………...9-13
Глава 2 Обработка персональных данных
2.1. Требование к обработке персональных данных………………………….…14-15
2.2. Условия обработки персональных данных. Согласие на обработку своих персональных данных………………………………………………………….....16-20
2.3. Обработка персональных данных с использованием средств автоматизации и без таковой.………………………………………………………………………..21-23
Глава 3 Обзор судебной практики ………………………………………………24-30
Заключение…………………………………………………………………………..31
Список литературы……………………………………………………………….32-34
Введение
Тема защиты персональных данных в последнее время особенно актуальна. Виной тому новые нормы об административной ответственности за нарушение Федерального закона от 27.07.2006 № 152 (далее ФЗ "О персональных данных").
С 1 июля 2017 года вступили в силу поправки в статью 13.11 Кодекса Российской Федерации об административных правонарушениях, которые вносят существенные изменения в положения, устанавливающие ответственность за нарушение законодательства в области персональных данных. Данные поправки значительно увеличивают штрафы для операторов персональных данных. Так Максимальный штраф для юридических лиц теперь составляет 75 000 рублей, тогда как до принятия вышеуказанных поправок максимальный штраф составлял всего 10 000 рублей.
И хотя размер штрафа все равно остается намного меньше европейского (максимальный штраф по Регламенту ЕС составит до 20 млн евро или 4 % от годового оборота за финансовый год), авторы законопроекта надеются на сокращение правонарушений в области персональных данных.
Не стоит, однако, забывать, что ответственность за нарушение ФЗ "О персональных данных" не ограничивается административными штрафами, отдельные нормы Трудового, Гражданского и Уголовного кодексов РФ также предусматривают санкции для нарушителей законодательства в области защиты персональных данных.
Глава 1 Общие положения о персональных данных работника
1.1.Понятие персональных данных. Требование законодательства и ответственность за его несоблюдение.
Персональными данными в современном законодательстве является любая информация, прямо или косвенно относящаяся к субъекту персональных данных - определенному или определяемому физическому лицу.
Согласно законодательства Российской Федерации к персональным данным относится такие данные как:
- фамилия, имя, отчество;
- пол, возраст;
- изображение человека, которое позволяет установить личность;
- образование, квалификация, профессиональная подготовка и сведения о повышении квалификации;
- место жительства;
- семейное положение, наличие детей, родственные связи;
- факты биографии и предыдущая трудовая деятельность, такие как, место работы, судимость, служба в армии, работа на выборных должностях, на государственной службе и др.;
- материальное положение. Сведения о заработной плате также являются персональными данными;
- деловые и иные личные качества, которые носят оценочный характер;
- прочие сведения, которые могут идентифицировать человека.
Из вышеуказанного списка работодатель вправе получать и использовать только те сведения, которые характеризуют гражданина как сторону трудовых отношений.
Документов, содержащих персональные данные, довольно много, начиная с анкет, заполняемых при трудоустройстве, паспорта, документов об образовании, трудовой книжки и заканчивая свидетельствами о заключении брака, рождении детей, медицинскими справками и т.д.
Статья 86 Трудового Кодекса РФ разъясняет нам, что при определении объема и содержания, обрабатываемых персональных данных работника работодатель должен руководствоваться Конституцией РФ, Трудовым кодексом и иными федеральными законами.
В ходе трудового процесса работника работодатель собирает, обрабатывает и хранит документы, содержащие персональные данные работника, осуществляющего у него трудовую деятельность. Исходя из определения понятия персональные данные, вышеуказанные сведения могут содержаться в достаточно большом количестве документов, оформляемом работодателем и трудоустройстве работника и в ходе осуществления работником своей трудовой деятельности. Например, анкета, автобиография, личный листок по учету кадров, которые заполняются работником при приеме на работу. В этих документах содержатся анкетные и биографические данные работника. Также при приеме на работу работник предоставляет копию документа, удостоверяющего личность. А в нем содержится фамилия, имя, отчество, дата рождения, адрес регистрации, семейное положение, состав семьи работника, а также реквизиты этого документа. После оформления трудоустройства работодатель заводит на каждого работника личную карточку Т-2, в которой содержатся такие данные, как фамилия, имя, отчество работника, место его рождения, состав семьи, образование, а также данные документа, удостоверяющего личность, и пр. К персональным данным также относятся трудовая книжка или ее копия. В данном случае речь идет о данных, содержащих сведения о трудовом стаже, предыдущих местах работы.
В перечень документов, содержащих персональные данные, наряду с вышеуказанными документами входят копии свидетельств о заключении брака, рождении детей, так как они содержат сведения о составе семьи, которые могут понадобиться работодателю для предоставления работнику определенных льгот, предусмотренных трудовым и налоговым законодательством. Документы воинского учета, так как подобного рода документы содержат информацию об отношении работника к воинской обязанности и необходимы работодателю для осуществления в организации воинского учета работников. Справка о доходах с предыдущего места работы, подобная информация нужна работодателю для предоставления работнику определенных льгот и компенсаций в соответствии с налоговым законодательством. Документы об образовании, подтверждающие квалификацию работника и обосновывающие занятие определенной должности. Документы обязательного пенсионного страхования, которые необходимы работодателю для уплаты за работника страховых пенсионных взносов.
При оформлении трудовой деятельности работник и работодатель заключают трудовой договор, который также будет являться документом, содержащим персональные данные, так как в нем содержатся сведения о должности работника, заработной плате, месте работы, рабочем месте, а также иные персональные данные. Подлинники и копии приказов по личному составу, в них содержится информация о приеме, переводе, увольнении и иных событиях, относящихся к трудовой деятельности работника.
При необходимости работодатель запрашивает иные документы, содержащие персональные данные работников.
Кроме того, работодатель в процессе своей деятельности собирает информацию о соискателях, необходимую для принятия решения о вступлении с ними в трудовые отношения. Если эта информация содержит персональные данные соискателей, к ней в полной мере относятся установленные законом требования о сборе, обработке, хранении, защите персональных данных.
1.2.Право работников на защиту персональных данных
Граждане РФ осуществляющие трудовую деятельность имеют право на полную информацию о своих персональных данных и обработке этих данных. Соответственно, работодатель обязан ознакомить их с такой информацией.
Статья 86 Трудового кодекса РФ регламентирует необходимость ознакомления работников и их представителей под подпись с документами, которые устанавливают порядок обработки персональных данных работников на предприятии, а также об их правах и обязанностях в этой области.
Следовательно, конкретный порядок доступа работника к своим персональным данным необходимо устанавливать в локальных нормативно правовых актах, определяющих порядок обработки и защиты персональных данных работника. При этом нужно учитывать, что данный порядок должен гарантировать свободу доступа работника к своим персональным данным.
Также каждый, согласно ст. 89 Трудового кодекса РФ, имеют право на свободный бесплатный доступ к своим персональным данным, в том числе на получение копии любой записи, содержащей такие данные.
Более того, учитывая требования ст. 62 Трудового кодекса РФ, по письменному заявлению работника работодатель обязан не позднее трех рабочих дней со дня получения от работника заявления выдать ему копии документов, связанных с работой, таких как приказ о приеме на работу, приказ о переводах на другую работу, приказ об увольнении с работы, выписка из трудовой книжки, справка о заработной плате, о начисленных и фактически уплаченных пенсионных взносах, о периоде работы у данного работодателя и др.). Данные копии заверяются работодателем надлежащим образом и предоставляются работнику безвозмездно.
Отмечу, что положения ст. 62 Трудового кодекса РФ распространяются и на дистанционных работников, но с учетом особенностей, установленных ст. 49.1 Трудового кодекса РФ. В частности, если такому работнику потребуются копии документов, связанных с работой, работодателю необходимо направить их ему - по почте заказным письмом с уведомлением либо электронным письмом, в случае если работник прямо указал об этом в заявлении.
Соответствующее заявление работник может направить в электронной форме, заверив его усиленной квалифицированной электронной подписью.
Работник также может определить представителя для защиты своих персональных данных. Традиционно представителями работников являются профсоюзы, однако для указанных целей работник может определить иное лицо (физическое либо юридическое), а также защищать права самостоятельно.
Также работникам предоставляется право доступа к персональным данным, относящимся к медицинским данным, с помощью медицинского специалиста по их выбору.
Работники имеют право требовать исключения или исправления неверных или неполных персональных данных, а также данных, обработанных с нарушениями требований Трудового кодекса РФ или иного федерального закона. В случае отказа работодателя исключить или исправить персональные данные работника последний имеет право заявить в письменной форме работодателю о своем несогласии с соответствующим обоснованием. Персональные данные оценочного характера работник имеет право дополнить заявлением, выражающим его собственную точку зрения.
В соответствии со ст. 89 ТК РФ по требованию работника работодатель обязан известить всех лиц, которым ранее были сообщены неверные или неполные персональные данные этого работника, обо всех произведенных в них исключениях, исправлениях или дополнениях. Работники имеют право обжаловать в суд любые неправомерные действия или бездействие работодателя при обработке и защите его персональных данных.
1.3.Ответственность за несоблюдение законодательства о защите персональных данных
В настоящее время существует тенденция по ужесточению ответственности за несоблюдение персональных данных. На мой взгляд, это обуславливается развитием информационных технологий и увеличением количества баз, содержащих персональные данные.
В настоящее время законодателем установлены следующие вилы ответственности за несоблюдение правил сбора, обработки, передачи и хранения сведений, содержащих персональные данные:
1. В силу ст. 90 Трудового Кодекса РФ лица, виновные в нарушении положений законодательства РФ при обработке персональных данных работника, привлекаются:
- К дисциплинарной ответственности в виде замечания, выговора или увольнения по пп. "в" п. 6 ч. 1 ст. 81 ТК РФ за однократное грубое нарушение трудовых обязанностей - разглашение персональных данных другого работника.
- К материальной ответственности в порядке, установленном Трудовым кодексом, а также к гражданско-правовой согласно Гражданским Кодексом РФ, на основании искового производства. В частности, работнику возмещаются причиненный имущественный ущерб, убытки и моральный вред.
- К административной ответственности.
2. В Кодексе об Административных Правонарушений Российской Федерации содержатся следующие виды ответственности:
- Неправомерный отказ в предоставлении гражданину, в том числе адвокату в связи с поступившим от него адвокатским запросом, и (или) организации информации, предоставление которой предусмотрено федеральными законами, несвоевременное ее предоставление либо предоставление заведомо недостоверной информации. Штраф, за такое правонарушение назначается в виде штрафа, налагаемого на должностных лиц, в размере от 1 000 до 3 000 руб.
- Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) влечет за собой предупреждение или штраф: для должностных лиц - от 500 до 1 000 руб., для юридических - от 5 000 до 10 000 руб.
- Разглашение информации, доступ к которой ограничен федеральным законом (если ее разглашение не влечет уголовную ответственность), лицом, получившим доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей, за исключением случаев, предусмотренных ч. 1 ст. 14.33 КоАП РФ Нарушение данной нормы влечет за собой наложение на должностных лиц штрафа в размере от 4 000 до 5 000 руб.
Согласно ст. 23 Закона N 152-ФЗ органом, осуществляющим контроль и надзор за соответствием обработки персональных данных требованиям Закона N 152-ФЗ и нормативных правовых актов, является Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор).
При этом дела об административных правонарушениях, предусмотренных ст. 13.11 КоАП РФ, возбуждаются прокуратурой.
3. Несоблюдение законодательства о защите персональных данных может преследоваться и уголовном законодательством. Уголовный Кодекс РФ предполагает ответственность:
- за незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрируемом произведении или средствах массовой информации ;
- за неправомерный отказ должностного лица в предоставлении собранных в установленном порядке документов и материалов, непосредственно затрагивающих права и свободы гражданина, либо предоставление гражданину неполной или заведомо ложной информации, если эти деяния причинили вред правам и законным интересам граждан;
- за неправомерный доступ к охраняемой законом компьютерной информации, если это деяние повлекло ее уничтожение, блокирование, модификацию либо копирование.
С 1 июля 2017 года законодатель существенно ужесточил ответственность за нарушения при взаимодействии с персональными данными физических лиц. Это следует из положений Федерального закона от 07.02.2017 № 13-ФЗ. Изменения затронули всех без исключения работодателей, которые связаны с обработкой персональных данных сотрудников. Более того, можно сказать, что поправки касаются практически всего бизнес-сообщества, взаимодействующего с персональными данными физических лиц (например, владельцев сайтов, которые собирают персональные данные посетителей).
По сравнению с предыдущей редакцией, вместо одного общего состава правонарушения установлено семь самостоятельных составов. Значительно увеличился размер штрафа. И сделано еще одно серьезное изменение: привлекать к административной ответственности по ст. 13.11 КоАП РФ с 1 июля 2017 г. теперь имеют право не прокуроры, а должностные лица Роспотребнадзора.
А теперь рассмотрим, за что и в каком размере теперь могут штрафовать работодателей в случае нарушения ими законодательства о персональных данных работников в соответствии со ст. 13.11 КоАП РФ.
Такое нарушение как обработка персональных данных в случаях, не предусмотренных законодательством, либо обработка, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных ч. 2 ст. 13.11 КоАП РФ, если эти действия не содержат уголовно наказуемого деяния, влечет предупреждение или наложение штрафа в размере до десяти тысяч рублей на должностных лиц и до пятидесяти тысяч рублей на юридических.
Нарушение в виде обработки персональных данных без письменного согласия работника на обработку его данных в случаях, когда согласие должно быть получено, если эти действия не содержат уголовно наказуемого деяния, либо обработка персональных данных с нарушением установленных требований к составу сведений, включаемых в согласие в письменной форме субъекта персональных данных на обработку его данных, влечет наложение штрафа на должностных лиц в размере до двадцати тысяч рублей, у юридических лиц штраф может достигать семидесяти пяти тысяч рублей.
Невыполнение оператором персональных данных обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора в отношении обработки персональных данных, или сведениям о реализуемых требованиях к защите персональных данных влечет за собой или предупреждение или наложение штрафа в размере до шести тысяч рублей на должностных лиц и до тридцати тысяч на юридических лиц.
Так же на должностных лиц накладывается штраф в размере до шести тысяч рублей, а на юридических лиц наложенный штраф может достигать сорока тысяч рублей за правонарушение, связанное с невыполнением оператором персональных данных обязанности по предоставлению их субъекту информации, касающейся обработки его персональных данных, влечет предупреждение или наложение штрафа.
Еще одним правонарушением, влекущим за собой штрафы в размере до десяти тысяч рублей для должностных лиц и до сорока пяти тысяч для юридических лиц, является невыполнение оператором в сроки, установленные законодательством, требования субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных об уточнении персональных данных, их блокировании или уничтожении в случае, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.
Невыполнение оператором при обработке персональных данных без использования средств автоматизации обязанности по соблюдению условий, обеспечивающих сохранность персональных данных при хранении их материальных носителей и исключающих несанкционированный к ним доступ, если это повлекло неправомерный или случайный доступ к персональным данным, их уничтожение, изменение, блокирование, копирование, предоставление, распространение либо иные неправомерные действия в отношении данных, при отсутствии признаков уголовно наказуемого деяния влечет за собой наложение штрафа в размере до десяти тысяч рублей на должностных лиц и до пятидесяти на юридических лиц.
Невыполнение оператором, являющимся государственным или муниципальным органом, обязанности по обезличиванию персональных данных либо несоблюдение установленных требований или методов по обезличиванию данных влечет предупреждение или наложение на должностных лиц штрафа в размере от трех до шести тысяч рублей.
Глава 2 Обработка персональных данных
2.1. Требование к обработке персональных данных
Обработкой персональных данных считается любое действие или их совокупность, которые совершаются с использованием или без использования средств автоматизации, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
При обработке персональных данных оператор обязан соблюдать такие принципы в своей работе, как например, осуществление обработки персональных данных должно производиться на законной и справедливой основе.
К обязательным принципам обработки персональных данных соответствующим оператором также можно отнести условие достижения конкретных, заранее определенных и законных целей. Отсюда следует недопустимость обработки персональных данных, если такая обработка противоречит изначальным целям сбора персональных данных.
Также необходимо уточнить, что объединение баз данных, которые содержат, возможно, даже одинаковые персональные данные, но созданные для разных целей недопустимо не при каких обстоятельствах.
Важно уточнить и то, что обработке подлежат только те персональные данные, которые отвечают целям обработки. Так, например, нельзя запрашивать у работника при оформлении трудовых отношений, данные, не предусмотренные трудовым законодательством Российской Федерации.
Необходимо также отметить, что одним из обязательных условий обработки персональных данных является условие, при котором содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. В этом случае не допускается обработка избыточных данных по отношению к заявленным целям обработки.
При обработке должны быть обеспечены точность и достаточность персональных данных, а в необходимых случаях - актуальность по отношению к целям обработки. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных.
Ну и заключительным принципом хотелось бы отметить, что форма хранения персональных данных должна позволять определять субъекта этих данных. Хранение не должно длиться дольше, чем этого требуют цели обработки. В этом случае если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, обрабатываемые данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
2.2. Условия обработки персональных данных. Согласие на обработку своих персональных данных
Статья 86 Трудового кодекса Российской Федерации предполагает обязательное соблюдение определенных требований и условий при осуществлении работодателем сбора, обработки, передачи и хранения сведений, содержащих персональные данные того или иного работника, когда либо осуществлявшего трудовую деятельность у этого работодателя.
Примером такого требования, может служить условие, закрепленное в пункте 1 статьи 86 Трудового кодекса Российской Федерации, а именно работодатель при осуществлении обработки персональных данных работника обязан действовать в целях соблюдения законов и других нормативных правовых актов. Такими целями могут являться содействие работникам в трудоустройстве, получении образования, продвижении по службе, обеспечения их личной безопасности, контроля качества и количества работы, сохранности имущества организации.
Также необходимо отметить тот факт, что получать персональные данные работодатель имеет право исключительно у работника. Если же возможность их получения представляется возможным исключительно от третьих лиц, то работодатель обязан уведомить об этом работника и обязательно получить его письменным согласием. Данная норма зафиксирована в пункте 3 статьи 86 Трудового кодекса Российской Федерации.
Ну и наконец, следует отметить, что обработка персональных данных предполагает, что работодатель обязан обеспечить за счет собственных средств защиту персональных данных, собранных от своих работников, от неправомерного использования и утраты. Более того работники под подпись должны быть ознакомлены с локальными нормативными актами, устанавливающими порядок обработки персональных данных на предприятии. Эта обязанность также возлагается на работодателя. Данные нормы прописаны в пунктах 7,8 статьи 86 Трудового кодекса Российской Федерации.
В силу пункта 1 статьи 6, статьи 9 Закона о персональных данных любая обработка персональных данных осуществляется исключительно с согласия работника. А так как при возможном возникновении спора, касающегося защиты персональных данных, бремя доказывания получения согласия работника на обработку его персональных данных ложится на работодателя. Эта норма следует из части 3 статьи 9 Закона о персональных данных. Соответственно работодателю просто необходимо оформить такое согласие письменно. В некоторых случаях письменная форма согласия прямо предусмотрена законом, что предусмотрено частью 4 статьи 9 Закона о персональных данных.
Также отмечу, что Трудовым кодексом Российской Федерации предусматриваются случаи прямого указания на необходимость получения работодателем письменного согласия работника на обработку его персональных данных.
Примером вышеуказанных случаев могут служить, необходимость получения согласия от работника при получении персональных данных у третьей стороны Данная норма зафиксирована в пункте 3 статьи 86 Трудового кодекса Российской Федерации.
Получение согласия также необходимо и при передаче персональных данных работника третьим лицам, за исключением тех случаев, когда это необходимо для предупреждения угрозы жизни и здоровью работника либо в иных предусмотренных федеральными законами случаях. Вышеуказанный факт предусмотрен в статье 88 Трудового кодекса Российской Федерации.
Пункт 4 статьи 86 Трудового кодекса Российской Федерации предполагает обязательное получение согласия на обработку персональных данных при необходимости сбора, хранения и т.д., специальных категорий персональных данных работника, непосредственно связанных с вопросами трудовых отношений. К этим данным могут относиться сведения о расовой или национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни.
Считаю важным отметить, что в случае недееспособности работника письменное согласие на обработку его данных дает его законный представитель, то есть родитель либо опекун в силу части 6 статьи 9 Закона о персональных данных. А в случае смерти работника при отсутствии согласия на обработку персональных данных, данного им при жизни, такое согласие оформляют его наследники, в силу части 7 статьи 9 Закона о персональных данных.
С согласия работника работодатель вправе поручить обработку его персональных данных (ведение кадрового, бухгалтерского учета и пр.) другому лицу, что прописано в части 3 статьи 6 Закона о персональных данных. Примером такой передачи может служить кадровый либо бухгалтерский аутсорсинг. При этом ответственность перед работником за действия указанного лица несет исключительно работодатель, что прописано в части 5 статьи 6 Закона о персональных данных.
Полный перечень того, что должно содержать согласие работника на обработку персональных, зафиксирован в части 4 статьи 9 Закона о персональных данных. Этот перечень включает в себя такие данные, как фамилия, имя, отчество, адрес работника, реквизиты документа, удостоверяющего его личность, включая дату выдачи и сведения о выдавшем его органе. А в случае получения согласия от представителя работника - его фамилию, имя, отчество, адрес, реквизиты документа, удостоверяющего его личность, включая дату выдачи и сведения о выдавшем его органе, а также реквизиты доверенности или иного документа, подтверждающего полномочия представителя. В согласии содержатся наименование или фамилию, имя, отчество и адрес работодателя. Его необходимым атрибутом является цель обработки персональных данных, перечень персональных данных, которые подлежат обработке, фамилия, имя, отчество и адрес лица или наименование организации, осуществляющих обработку персональных данных по поручению работодателя, если она поручена такому лицу или организации.
Наряду с вышеуказанными данными в согласие на обработку персональных данных следует включить перечень действий с персональными данными, на совершение которых работником дано согласие, общее описание способов их обработки, а также срок, в течение которого действует согласие работника на обработку его персональных данных, и способ отзыва согласия. Ну и обязательным атрибутом согласия является подпись работника либо его представителя.
Несмотря на то, что работник при оформлении трудовой деятельности либо в любой другой момент дал согласие на обработку своих персональных данных в силу части 2 статьи 9 Закона о персональных данных он в любое время вправе отозвать согласие на обработку персональных данных. В подобной ситуации продолжение обработки персональных данных работника без его согласия возможно лишь в случаях, когда такая обработка прямо определена в действующем законодательстве.
В силу абзаца 11 пункта 5 Разъяснений Роскомнадзора по "Вопросам, касающимся обработки персональных данных работников, соискателей на замещение вакантных должностей, а также лиц, находящихся в кадровом резерве"
получать согласие на обработку персональных данных нужно не только у работника, но и у соискателя. Однако если от имени соискателя действует кадровое агентство, с которым он заключил соответствующий договор, либо соискатель сам сделал его доступным неограниченному кругу лиц, например, разместив его на интернет ресурсах, то согласие на обработку его персональных данных не требуется.
Согласие не будет требоваться и в случаях, когда обработка необходима в целях исполнения заключенного с работником договора или возложенных на работодателя обязанностей, функций и полномочий.
Более того, если отсутствие согласия на ту или иную часть обработки, прямо предусмотрено коллективным договором либо соглашением, а также локальными актами работодателя, принятыми в установленном статьей 372 Трудового кодекса Российской Федерации порядке, в таком случае отсутствие такового не будет являться нарушением.
Обязанность по обработке предусмотрена законодательством, в том числе для опубликования и размещения персональных данных работников в Интернете, например использование персональных данных работников, таких как фамилия, имя, отчество, образование, уровень профессиональной подготовки и т. д. на сайте организации, в которой они работают.
Существует и обработка персональных данных для работников, относящаяся к специальным категориям. К таковым можно отнести, например, обработку сведений о состоянии здоровья работника, которые касаются возможности выполнения им трудовой функции. Такая обработка допускается, например, в отношении сведений о состоянии здоровья педагогически работников, на основании части 2 статьи 331 Трудового кодекса Российской Федерации.
Допускается проведение обработки персональных данных, без получения письменного согласия, близких родственников работника в объеме, предусмотренном личной карточкой N Т-2, утвержденная, а также при получении алиментов, оформлении социальных выплат, допуска к государственной тайне и др. Также в этом случае допускается обработка персональных данных связанная с выполнением работником своих трудовых обязанностей.
Еще одним условием, при котором допускается обработка персональных данных, без оформления согласия субъекта подобной обработки, является цель, которая подтверждена необходимостью организации работодателем пропускного режима на территорию его служебных зданий и помещений
Ну и наконец, персональные данные работника передаются третьим лицам без надлежащего оформления согласия на обработку персональных данных, только в случаях, когда это обусловлено целью предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных законодательством Российской Федерации.
2.3. Обработка персональных данных с использованием средств автоматизации и без таковой.
Согласно п. 3 ст. 4 Закона о персональных данных порядок обработки персональных данных, осуществляемой без использования средств автоматизации, может устанавливаться федеральными законами и иными нормативными правовыми актами РФ.
В настоящее время действует Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденное Постановлением Правительства РФ от 15.09.2008 N 687. Согласно данному Положению обработкой персональных данных без применения средств автоматизации считаются использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, которые осуществляются при непосредственном участии человека. Соответственно, если персональные данные работников обрабатываются в информационной системе, это не означает, что данная обработка производится с помощью средств автоматизации. Таким образом, к обработке персональных данных работников в организации должны применяться правила, предусмотренные для обработки данных без использования средств автоматизации.
Персональные данные при такой обработке должны быть обособлены от иной информации, в частности, путем фиксации их на отдельных материальных носителях.
Также лица, осуществляющие обработку персональных данных без использования средств автоматизации, в том числе сотрудники организации-оператора или лица, осуществляющие такую обработку по договору с оператором, должны быть проинформированы о факте такой обработки, категориях обрабатываемых данных, а также об особенностях и правилах такой обработки, установленных нормативными правовыми актами федеральных органов исполнительной власти, органов исполнительной власти субъектов РФ, а также локальными правовыми актами организации.
Пункт 7 Положения, утвержденного Постановлением Правительства РФ от 15.09.2008 N 687 содержит условия, которые необходимо соблюдать при использовании типовых форм документов, предполагающих или допускающих включение в них персональных данных, например унифицированных форм первичной учетной документации по учету труда и его оплаты, утвержденных Постановлением Госкомстата России от 05.01.2004 N 1.
Согласно пп. "а" пункта 7 Положения, утвержденного Постановлением Правительства РФ от 15.09.2008 N 687 типовая форма или связанные с ней документы (инструкция по ее заполнению, карточки, реестры и журналы) должны содержать: сведения о цели обработки персональных данных, осуществляемой без использования средств автоматизации; фамилию, имя, отчество и адрес оператора; фамилию, имя, отчество и адрес субъекта персональных данных; источник получения данных; сроки их обработки; перечень действий с персональными данными, которые будут совершаться в процессе их обработки; общее описание используемых оператором способов обработки персональных данных.
Типовая форма должна содержать поле, в котором субъект персональных данных может проставить отметку о согласии на обработку персональных данных, осуществляемую без использования средств автоматизации, - при необходимости получения такого согласия.
При этом форма должна быть составлена таким образом, чтобы каждый из субъектов персональных данных, содержащихся в документе, имел возможность ознакомиться со своими данными, не нарушая прав и законных интересов иных субъектов персональных данных. Типовая форма должна исключать объединение полей, предназначенных для внесения персональных данных, цели обработки которых заведомо не совместимы.
Согласно статьи 3 Закона о персональных данных под автоматизированной обработкой понимается обработка данных с помощью средств вычислительной техники. Необходимо учитывать, что обработка персональных данных не может быть признана осуществляемой с использованием средств автоматизации только на том основании, что эти данные содержались в информационной системе персональных данных либо были извлечены из нее.
Персональные данные работников обрабатывает уполномоченный на это представитель работодателя. Следовательно, он должен руководствоваться правилами, предусмотренными для обработки персональных данных без использования средств автоматизации.
Глава 3 Обзор судебной практики
Анализ судебной практики приводит к тому выводу, что работодатели очень часто нарушают требования Закона по обработке персональных данных.
Рассмотрим два распространенных примера привлечения судом к административной ответственности юридических лиц (работодателей) за нарушение правил обработки и хранения персональных данных.
В соответствии со ст. 6, п. 1 ст. 11 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных. Вместе с тем в результате проверки установлено, что в ООО "Мираж" согласие работников на обработку их персональных данных не получено.
Таким образом, в действиях ООО "Мираж" был выявлен состав административного правонарушения, предусмотренного ст. 13.11 КоАП РФ, то есть нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных). Судом ООО "Мираж" был признан виновным в совершении административного правонарушения, предусмотренного ст. 13.11 КоАП РФ, и было назначено административное наказание в виде предупреждения (Постановление мирового судьи судебного участка N 12 Зуевского судебного района Кировской области от 8 апреля 2015 г. по делу N 5-199/15).
Следующий пример из судебной практики. ООО АНО ДПО "Учебный Центр Газ-Нефть" было привлечено к административной ответственности по ст. 13.11 КоАП РФ за отсутствие письменного согласия Тряскиной Н.Г. и Зотовой Ю.С. на передачу их персональных данных третьим лицам и их обработку. Таким образом, нарушен порядок сбора персональных данных Тряскиной Н.Г. и Зотовой Ю.С, которые в обязательном порядке должны быть ознакомлены под роспись с Положением "О разграничении прав доступа к обрабатываемым персональным данным в АНО "Учебный центр Газ-Нефть", а также дать свое согласие на обработку своих персональных данных (Постановление мирового судьи судебного участка N 8 судебного района г. Уфы Республики Башкортостан по делу N 5-203/2015).
В соответствии со ст. 86 ТК РФ обработка персональных данных может осуществляться работодателем лишь с целью обеспечения соблюдения нормативных правовых актов, содействия работникам в трудоустройстве, обучения и продвижения по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества.
Нарушения могут быть и при назначении ответственного лица, которое осуществляет обработку данных в организации.
Согласно ч. 1 ст. 22.1 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" оператор, являющийся юридическим лицом, назначает лицо, ответственное за организацию обработки персональных данных. Так, в нарушение п. 1 ч. 1 ст. 18.1, ч. 1 ст. 22.1 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" в ООО "Ясмин" не назначен ответственный за организацию обработки персональных данных. Согласно п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных законом и принятыми в соответствии с ним нормативными правовыми актами (Постановление мирового судьи Вологодской области по судебному участку N 9 по делу N 5-1303/2015г.).
В некоторых случаях суд может признать законность действий работодателя при обработке и защите персональных данных работника.
Так, в исковом заявлении Б.П. ссылался на то обстоятельство, что в период его работы у ответчика при разработке конструкторской документации на ряде документов, которые он не видел и не подписывал или с содержанием которых не был согласен, представители работодателя указали его фамилию.
В связи с чем он в докладной записке потребовал от работодателя удалить свою фамилию из всех конструкторских документов, которые он не подписывал или с содержанием которых не был согласен, однако работодатель никаких действий по защите персональных данных Б.П. не предпринял, чем нанес ему моральный вред.
Отказывая в удовлетворении исковых требований Б.П., суд указал, что использование работодателем персональных данных Б.П. в виде указания его фамилии в конструкторской документации было обусловлено выполнением им трудовых обязанностей и было осуществлено в соответствии с должностной инструкцией Б.П. и действующими нормами трудового права.
Суд при этом отметил, что каких-либо доказательств того, что документы, в которых была указана фамилия истца, не относились к области его трудовых обязанностей, в материалах дела не имеется (Решение судебной коллегии по гражданским делам Санкт-Петербургского городского суда от 26 января 2012 г. по делу N 33-712/2012).
При хранении материальных носителей должны соблюдаться условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный к ним доступ.
Исходя из толкования ст. 90 ТК РФ в совокупности со ст. 237 ТК РФ следует, что в результате незаконного распространения информации о персональных данных работника последнему может быть причинен моральный вред, подлежащий возмещению работодателем.
Так, Апелляционным определением Верховного Суда Республики Саха (Якутия) от 23 октября 2013 г. по делу N 33-4172/13 было установлено незаконное бездействие акционерной компании "АЛРОСА", выразившееся в нарушении норм защиты персональных данных работника Д. при их получении и обработке, содержавшихся в дополнительном соглашении б/н от 30 апреля 2008 г. к трудовому договору. При таких обстоятельствах, вопреки выводам суда первой инстанции, распечатка с интернет-сайта и протокол осмотра с участием нотариуса указывают на неправомерное использование третьими лицами персональных данных работника, находившихся, кроме истца, только у работодателя. Таким образом, акционерная компания "АЛРОСА" (ОАО) нарушила действующее законодательство по защите персональных данных работника.
В соответствии с п. 4 ст. 86 ТК РФ работодатель не имеет права получать и обрабатывать данные работника о его политических, религиозных и иных убеждениях и частной жизни без его письменного согласия, если это не связано с трудовыми отношениями.
Обязанность работодателя обеспечивать защиту персональных данных работника подтверждается судебной практикой. Так, суд указал, что работодатель правомерно не представил акционерам общества копию трудового договора с генеральным директором, поскольку ст. 88 ТК РФ установлен запрет на передачу персональных данных работника третьей стороне, а в соответствии со ст. 90 ТК РФ лица, виновные в нарушении норм, регулирующих защиту персональных данных, несут административную, гражданско-правовую или уголовную ответственность (Постановление ФАС Московского округа от 14.01.2010 по делу N А40-38438/09-17-269).
Суды и другие правоохранительные органы могут беспрепятственно получать от организаций персональные данные работников, клиентов или контрагентов без согласия последних. Данную правовую позицию поддерживают и суды высших инстанций.
В частности, Иркутский областной суд в Апелляционном определении от 9 сентября 2014 г. по делу N 33-7441-14 указал, что суд первой инстанции сделал правильные выводы о том, что запрос сведений, касающихся лица, состоящего в трудовых отношениях с администрацией муниципального образования, является правомерным, произведен прокурором в пределах его полномочий, предусмотренных законом, и не требует согласия указанного гражданина на обработку его персональных данных. Как следует из содержания запроса и материалов дела, обращаясь к главе администрации АМО, прокурор конкретизировал запрашиваемые сведения, ограничив их документами, предшествующими заключению трудового договора, включая конкурсную документацию, что воспринимается однозначно и не вызывает сомнений в составе и объеме запрашиваемых документов.
В соответствии с п. 6 ст. 3 Федерального закона "О персональных данных" действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц, являются предоставлением, а не распространением информации.
Рассмотрим следующий пример из судебной практики. Так, в Апелляционном определении от 4 марта 2015 г. по делу N 33-7084 Московский городской суд правильно исходил из того, что обработка персональных данных заявителя по его письменному заявлению осуществляется не в рамках уголовно-правовых отношений, определяющих основания аннулирования всех последствий, связанных с судимостью, а в связи с его профессиональной деятельностью и в соответствии с целями обработки, определенными Трудовым кодексом РФ, которые допускают включение в данную справку сведений как об имеющейся, так и об имевшейся у лица судимости. Данное правовое регулирование обеспечивает защиту общественных интересов и обязывает ФКУ ГИАЦ МВД России и ИЦ предоставлять информацию обо всех судимостях заявителя, включая погашенные (Апелляционное определение Московского городского суда от 4 марта 2015 г. по делу N 33-7084).
Федеральными законами могут быть предусмотрены иные случаи передачи персональных данных без согласия работника. Запрашивать сведения о персональных данных работника могут также адвокаты, нотариусы, должностные лица государственных органов.
В силу п. 1 ч. 3 ст. 6 Федерального закона от 31.05.2002 N 63-ФЗ "Об адвокатской деятельности и адвокатуре в Российской Федерации" адвокат вправе собирать сведения, необходимые для оказания юридической помощи, в том числе запрашивать справки, характеристики и иные документы от органов государственной власти, органов местного самоуправления, а также общественных объединений и иных организаций. Указанные органы и организации в порядке, установленном законодательством, обязаны выдать адвокату запрошенные им документы или их заверенные копии не позднее чем в месячный срок со дня получения запроса адвоката.
В частности, в Апелляционном определении Московского городского суда от 24 декабря 2014 г. по делу N 33-41576/2014 указано, что, отказывая истцу в удовлетворении заявленных требований, суд первой инстанции исходил из того, что предоставление ответчиком адвокату копии трудовой книжки П. и расписки в получении трудовой книжки соответствует положениям п. 1 ч. 3 ст. 6 Федерального закона "Об адвокатской деятельности и адвокатуре в Российской Федерации", п. п. 2, 3 ч. 1 ст. 6 Федерального закона "О персональных данных", поскольку обработка персональных данных истца осуществлялась ЗАО "ИНТЕРРОС ЭСТЕЙТ" в целях обеспечения права на представления доказательств по гражданскому делу.
Но не все правоохранительные и контрольные органы имеют аналогичные права. Остановимся на следующей судебной практике.
Так, Девятый арбитражный апелляционный суд в своем Постановлении от 25.06.2009 по делу N А40-76345/08-122-112 указал, что сотрудник службы судебных приставов не имеет права запрашивать и получать сведения, содержащие личные данные граждан. В частности, суд отметил, что ни Федеральный закон от 21.07.1997 N 118-ФЗ "О судебных приставах", ни Федеральный закон от 02.10.2007 N 229-ФЗ "Об исполнительном производстве" не предоставляют судебным приставам-исполнителям права получать персональные данные без согласия их субъектов, не устанавливают условия получения таких данных, не определяют круг субъектов, персональные данные которых подлежат обработке, а также полномочия судебного пристава-исполнителя по их обработке.
За разглашение персональных данных устанавливается дисциплинарная ответственность. Однако в практике есть случаи признания недействительным применение дисциплинарной ответственности к работнику за разглашение сведений о персональных данных, если работник не был ознакомлен с внутренними документами об обработке и хранении персональных данных, а также в случае недоказанности работодателем факта обоснованности привлечения к дисциплинарной ответственности.
Разрешая спор по существу и признавая незаконным и подлежащим отмене приказ Дальневосточного банка ОАО "Сбербанк России" о применении дисциплинарного взыскания о наложении на Д. дисциплинарного взыскания в виде замечания, суд первой инстанции пришел к обоснованному выводу о том, что ответчиком в судебном заседании не доказан тот факт, что Д. получила копии приказов N-k, N-k, N-k, содержащие персональные данные работников Дальневосточного банка ОАО "Сбербанк России". Незаконность получения персональных данных и факт распространения также не доказаны.
Судебная коллегия также соглашается с выводом суда первой инстанции о пропуске срока привлечения истца к дисциплинарной ответственности, поскольку датой обнаружения проступка является подача директором юридического управления служебной записки на имя заместителя председателя Дальневосточного банка "Сбербанк России" о необходимости проведения служебного расследования. Об этом прямо указано в п. 2.3 акта служебного расследования. Приказ о применении дисциплинарного взыскания издан после истечения срока для применения наказания, когда с момента обнаружения проступка до применения дисциплинарного взыскания прошло более двух месяцев (Апелляционное определение Хабаровского краевого суда от 30 мая 2014 г. по делу N 33-3334).
Таким образом, можно сделать вывод о том, что судебная практика по вопросам обработки и хранения персональных данных является одним из наиболее распространенных категорий трудовых споров. В основном в судах рассматриваются нарушения правил обработки и хранения персональных данных различными организациями. Большинство споров удалось бы избежать, если бы работодатели соблюдали требования федерального законодательства об обработке и хранении персональных данных.
В основном суды апелляционной и кассационной инстанции соглашаются с выводами судов первой инстанции и оставляют решения без изменений.
Заключение
Как бы не звучало это неприятно, но следует признать, что в настоящее время бизнес относится к персональным данным своих работников чаще всего халатно. Если скажем, крупные компании еще пытаются выстроить правильную политику работы с персональными данными своих работников, то средний и малый бизнес еще далеко не весь обратил внимание даже на основные принципы по сбору, учету и хранению персональных данных своих работников. К сожалению чаще всего со стороны работодателей присутствует даже отсутствие понимания, что данные работников это ценность, и что нужно уважать права частного лица при работе с его данными. И что сам закон не про информационную безопасность, а про соблюдение прав.
По-прежнему имеют место неправомерного использования данных.
Как знать, может быть, огромной массе операторского сообщества и нужна норма закона в виде увеличенных штрафов и в виде существенно повышенного внимания надзорного органа?
И необходимо обратить внимание ещё на один важный момент. При увеличении штрафов и ускорении возможного наказания можно найти позитивный момент в изменениях конкретизацию состава нарушений. В предыдущей редакции была очень общая формулировка «Нарушение установленного законом порядка...» и она могла трактоваться весьма широко. Сейчас же семь (шесть, касающихся бизнеса) пунктов достаточно конкретизированы и понятны. Это, на мой взгляд, большой шаг государства навстречу прозрачности законодательства в этой сфере.
Список литературы
- Трудовой кодекс Российской Федерации от 30.12.2001 N 197-ФЗ (ред. от 05.02.2018).
- Кодекс Российской Федерации об административных правонарушениях от 30.12.2001 N 195-ФЗ (ред. от 07.03.2018).
- Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных»
- Разъяснения Роскомнадзора "О вопросах отнесения фото- и видео- изображения, дактилоскопических данных и иной информации к биометрическим персональным данным и особенности их обработки"
- Письмо Роскомнадзора от 07.02.2014 N 08КМ-3681.
- Абаев Ф.А. Понятие, правовая природа персональных данных // Право и государство: теория и практика. 2014. № 3 (111). С. 126-131.
- Аленевская В.В. Ограничение права на информацию в трудовых отношениях // Вестник Прикамского социального института. Гуманитарное обозрение. 2014. № 1 (8). С. 42-49.
- Бегларян М.Е., Пичкуренко Е.А. Безопасность персональных данных в современной России // Уголовная политика в сфере обеспечения здоровья населения, общественной нравственности и иных социально-значимых интересов материалы 4-ой Международной научно-практической конференции. 2015. С. 24-28.
- Беденкова А.А., Хоменко И.С. Правовой статус персональных данных работников // Вестник науки Сибири. 2014. № 4 (14). С. 148-151.
- Бобров И.В., Комарецев Ю.В. Проблема защиты персональных данных работника // Проблемы российского законодательства и международного права Сборник статей Международной научно-практической конференции. Ответственный редактор: Сукиасян Асатур Альбертович . 2015. С. 26-28.
- Болотин В.С., Маслёха М.А. Механизм защиты права на неприкосновенность частной жизни при обработке персональных данных в информационных системах // Вестник государственного и муниципального управления. 2012. № 3. С. 99-103.
- Волков Ю.В. Защищенность субъекта при автоматизированной обработке его персональных данных // Вестник УрФО. Безопасность в информационной сфере. 2012. № 3-4. С. 49-53.
- Вышеславова Т.Ф. Правовое регулирование защиты персональных данных работников в современных трудовых правоотношениях // Правовая политика: приоритеты и формы реализации. Материалы Второй Международной научно-практической конференции. 2015. С. 325-327.
- Гильмуллина Д.А., Чикенёва И.В. О защите персональных данных в системе трудовых правоотношений // Известия Оренбургского государственного аграрного университета. 2014. № 3. С. 231-234.
- Губарева А.В., Гулемин А.Н. Угрозы безопасности персональных данных: проблемы современности // Политика и общество. 2015. № 2. С. 151-158.
- Журавлев М.С. Персональные данные в трудовых отношениях: допустимые пределы вмешательства в частную жизнь работника // Информационное право. 2013. № 4. С. 35-38.
- Иличенков А. Обработка персональных данных работников без их согласия // Кадровик. 2013. № 5. С. 159-166.
- Катунцева М.О. Конституционное право на информацию и проблема защиты персональных данных в социальных сетях // В книге: Конституционные права и свободы человека и гражданина в РФ: проблемы реализации и защиты Материалы межвузовского студенческого круглого стола. 2016. С. 31-37.
- Кутенков Ю.И. Понятие персональных данных работника в российском трудовом праве // Азиатско-тихоокеанский регион: Экономика, политика, право. 2015. № 4 (37). С. 116-133.
- Лушников А., Лушникова М. Информация и персональные данные в сфере трудовых отношений // Кадровик. 2013. № 6. С. 19-24.
- Мазина Г.П. Персональные данные и их защита в трудовых и служебных правоотношениях // Общественная безопасность, законность и правопорядок в III тысячелетии. 2015. № 1-2. С. 180-185.
- Меликов У.А. Гражданско-правовая защита персональных данных // Вестник УрФО. Безопасность в информационной сфере. 2015. № 4 (18). С. 49-53.
- Минбалеев А.В. Проблемные вопросы понятия и сущности персональных данных // Вестник УрФО. Безопасность в информационной сфере. 2012. № 2 (4). С. 4-9.
- Прохорова Т.Ю. К вопросу о нормативно-правовом регулировании защиты персональных данных // Юридическая наука и практика: Вестник Нижегородской академии МВД России. 2016. № 1 (33). С. 318-325.
- Рахимкулова Л.С., Уметбаева Ю.И. К вопросу о защите персональных данных работника // Фундаментальные и прикладные исследования в современном мире. 2016. № 15-2. С. 204-206.
- Станскова У. Состав персональных данных в трудовых отношениях: что подлежит защите // Юрист ВУЗа. 2014. № 8. С. 24-33.
- Тифенцев Е.В. Некоторые проблемы защиты персональных данных работников // Защита трудовых прав: проблемы теории и практики: сборник научных статей. - Новосибирск: Экор-книга, 2014. С. 85-100.
- Чеботарева А.А. Информационная политика России в обеспечении информационной безопасности личности: история и современность // История государства и права. 2015. № 24. С. 24-28.
- Щербович А.А. Локализация персональных данных граждан России: проблемы правоприменения // Копирайт. Вестник Российской академии интеллектуальной собственности. 2015. № 4. С. 66-77.