Не хотел поднимать эту многострадальную тему, но судя по тому, что я читаю, в том числе и на этом уважаемом сайте, у многих HR-ов в данной области полный провал в знаниях.
Итак, приступим...
Миф №1. Работодатель, как оператор персональных данных работников, ОБЯЗАН "до начала обработки персональных данных уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных...", то есть уведомить Рокомнадзор...
Нет не обязан. Право работодателю не уведомлять дает п.1 ч.2 ст.22 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных":
"Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных:
1) обрабатываемых в соответствии с трудовым законодательством;
Миф №2. Работодатель, перед подписанием трудового договора с работником, ОБЯЗАН получить согласие на обработку персональных данных.
Нет не обязан.
Во первых, ст.ст. 86 и 88 ТК РФ, обязывает работодателя получать согласие у работника только в следующих случаях:
"Если персональные данные работника возможно получить только у третьей стороны..."
"При сообщении персональных данных работника третьей стороне..."
"При передаче персональных данных работника в коммерческих целях..."
Во вторых, работодатель не является оператором по отношению к своим работникам (и соответственно на него не распространяются все обязанности, определенные 152-ФЗ), если помимо "организации и (или) обработки" он не "определяет цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными..." (п.2 ст.3 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных"). Очевидно, что работодатель не определяет цели обработки ПД своих работников, состав ПД и действия производимые с ними (они определены трудовым и бухгалтерским законодательством).
Ну и не забываем про разъяснения Роскомнадзора "По вопросам, касающимся обработки персональных данных работников, соискателей на замещение вакантных должностей, а также лиц, находящихся в кадровом резерве" от 14 декабря 2012 года, опубликованные на официальном сайте ведомства: http://rkn.gov.ru/news/rsoc/news17877.htm
Материал подготовлен Челентано, и он не будет возражать, если кто то воспользуется этим материалом в любых целях, включая извлечение прибыли...Ссылка не обязательна
Это первое!!!
Статья 86. Общие требования при обработке персональных данных работника и гарантии их защиты
В целях обеспечения прав и свобод человека и гражданина работодатель и его представители при обработке персональных данных работника обязаны соблюдать следующие общие требования:
1) обработка персональных данных работника может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, получении образования и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества;
(в ред. Федерального закона от 02.07.2013 N 185-ФЗ)
2) при определении объема и содержания обрабатываемых персональных данных работника работодатель должен руководствоваться Конституцией Российской Федерации, настоящим Кодексом и иными федеральными законами;
3) все персональные данные работника следует получать у него самого. Если персональные данные работника возможно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Работодатель должен сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение;
4) работодатель не имеет права получать и обрабатывать сведения о работнике, относящиеся в соответствии с законодательством Российской Федерации в области персональных данных к специальным категориям персональных данных, за исключением случаев, предусмотренных настоящим Кодексом и другими федеральными законами;
(п. 4 в ред. Федерального закона от 07.05.2013 N 99-ФЗ)
5) работодатель не имеет права получать и обрабатывать персональные данные работника о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных настоящим Кодексом или иными федеральными законами;
(в ред. Федерального закона от 30.06.2006 N 90-ФЗ)
6) при принятии решений, затрагивающих интересы работника, работодатель не имеет права основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного получения;
7) защита персональных данных работника от неправомерного их использования или утраты должна быть обеспечена работодателем за счет его средств в порядке, установленном настоящим Кодексом и иными федеральными законами;
(в ред. Федерального закона от 30.06.2006 N 90-ФЗ)
8) работники и их представители должны быть ознакомлены под роспись с документами работодателя, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области;
(в ред. Федерального закона от 30.06.2006 N 90-ФЗ)
9) работники не должны отказываться от своих прав на сохранение и защиту тайны;
10) работодатели, работники и их представители должны совместно вырабатывать меры защиты персональных данных работников.
ст. 86, "Трудовой кодекс Российской Федерации" от 30.12.2001 N 197-ФЗ (ред. от 29.12.2014) {КонсультантПлюс}
Это второе:
Постановление Правительства РФ от 21.03.2012 N 211
(ред. от 06.09.2014)
"Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами"
В третьих:
Требования к обработке персональных данных
В соответствии со ст. 3 Закона о персональных данных обработка персональных данных - это любое действие (операция) или совокупность действий (операций), совершаемых с использованием или без использования средств автоматизации, с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Согласно ст. 5 Закона о персональных данных при обработке персональных данных должны соблюдаться следующие принципы:
1) обработка должна осуществляться на законной и справедливой основе;
2) обработка должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка, несовместимая с целями сбора персональных данных;
3) не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
4) обработке подлежат только те персональные данные, которые отвечают целям обработки;
5) содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Не допускается обработка избыточных данных по отношению к заявленным целям обработки;
6) при обработке должны быть обеспечены точность и достаточность персональных данных, а в необходимых случаях - актуальность по отношению к целям обработки. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных;
7) форма хранения персональных данных должна позволять определять субъекта этих данных. Хранение не должно длиться дольше, чем этого требуют цели обработки, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.