• Трудовой договор
• Трудовые отношения
• Иные вопросы

подробнее подробнее подробнее

Защита персональных данных работника

В последние десятилетия в связи с невероятным техническим прогрессом, появлением средств вычислительной техники, расширением возможностей обмена информацией, и, в первую очередь, с помощью сети Интернет, весьма остро встает вопрос об обеспечении конфиденциальности информации, относящейся к частной жизни человека.

Согласно ч. 1 ст. 23 Конституции РФ каждый имеет право на неприкосновенность частной жизни, личную и семейную тайну, защиту своей чести и доброго имени.

В развитие данной нормы, а также в связи с ратификацией Российской Федерацией ряда международных актов, направленных на защиту частной жизни человека, в ТК РФ была включена гл. 14 "Защита персональных данных работника".

Источниками права, регулирующими правоотношения в области защиты персональных данных, также являются Закон о персональных данных и Федеральный закон 27.07.2006 N 149-ФЗ "Об информации, информационных технологиях и о защите информации". Кроме того, непосредственно действующими на территории Российской Федерации являются акты международного права, такие как модельный закон "О персональных данных", принятый постановлением от 16.10.1999 N 14-19 на 14-м пленарном заседании Межпарламентской Ассамблеи государств - участников СНГ, с 1 сентября 2013 г. вступает в силу на территории Российской Федерации Конвенция Совета Европы о защите физических лиц в отношении автоматизированной обработки данных личного характера (ETS N 108) от 28.01.1981.

Для начала необходимо определиться, что такое личные (персональные) данные.

Названная конвенция в ст. 2 определяет данные личного характера как "любую информацию об определенном или поддающемся определению физическом лице (субъект данных)". Закон о персональных данных воспроизводит указанную норму. Чуть более конкретное определение предлагает модельный закон "О персональных данных". Согласно ст. 2 данного закона "Персональные данные - информация (зафиксированная на материальном носителе) о конкретном человеке, которая отождествлена или может быть отождествлена с ним. К персональным данным относятся биографические и опознавательные данные, личные характеристики, сведения о семейном, социальном положении, образовании, профессии, служебном и финансовом положении, состоянии здоровья и прочие".

Таким образом, можно выделить несколько основных составляющих понятия "персональные данные". Во-первых, это информация. Понятие информации дано в Федеральном законе "Об информации, информационных технологиях и о защите информации", согласно ст. 2 этого закона информация - это сведения (сообщения, данные) независимо от формы их представления.

Во-вторых, эта информация должна быть персонализирована - должна позволять однозначно определить, к кому она относится. Обезличенная информация не может быть отнесена к категории персональных данных.

Статьей 5 указанного закона закреплено право граждан свободно использовать и передавать информацию, если законодательством не установлены ограничения. Информация в зависимости от категории доступа к ней подразделяется на общедоступную информацию, а также на информацию, доступ к которой ограничен федеральными законами (информация ограниченного доступа).

Информация в зависимости от порядка ее предоставления или распространения подразделяется на:

• информацию, свободно распространяемую;
• информацию, предоставляемую по соглашению лиц, участвующих в соответствующих отношениях;
• информацию, которая в соответствии с федеральными законами подлежит предоставлению или распространению;
• информацию, распространение которой в Российской Федерации ограничивается или запрещается.

Таким образом, персональные данные можно отнести к четвертой категории информации.

Трудовой кодекс РФ ранее содержал ст. 85, в которой было дано определение персональных данных применительно к трудовым отношениям (персональных данных работника). К персональным данным работника была отнесена информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного работника. С принятием Федерального закона от 07.05.2013 N 99-ФЗ "О внесении изменений в отдельные законодательные акты Российской Федерации в связи с принятием Федерального закона "О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных" и Федерального закона "О персональных данных" ст. 85 ТК РФ утратила силу. Таким образом, в настоящее время в трудовых отношениях также следует руководствоваться определениями, содержащимися в Законе о персональных данных.

Согласно ст. 3 Закона о персональных данных "персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)". Таким образом, к персональным данным можно отнести информацию о фамилии, имени, отчестве, годе и месте рождения, адресе, абонентском номере, сведениях о профессии и иные персональные данные.

Кроме общих персональных данных Закон о персональных данных выделяет также категории персональных данных, такие как:

• специальные персональные данные (категория персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни). Обработка указанной категории данных не допускается, за исключением случаев, предусмотренных ч. 2 ст. 10 Закона о персональных данных;
• биометрические персональные данные (сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность). Указанные сведения могут быть обработаны только с согласия субъекта персональных данных, за исключением случаев, предусмотренных ч. 2 ст. 11 Закона о персональных данных.

В судебной практике встречаются споры об отнесении той или иной категории данных к персональным данным работника. Работники, в частности, пытаются оспорить законность получения работодателем сведений о них по месту учебы или исполнения должностных обязанностей работников. Особенно часто к персональным данным пытаются отнести фамилию работника, которая в любом случае должна фигурировать в любом запросе относительно его от работодателя, чем ситуацию с ограничениями обращения с персональными данными работников доводят просто до абсурда. Суды полагают, что, поскольку работник сам дал согласие на обработку его фамилии, предоставил ее в законном порядке, включение ее в документацию, которую должен подписывать работник, в запросы работодателя относительно работника и иные подобные документы вполне правомерно.

Статья 86 ТК РФ предусматривает, что обработка персональных данных работника может осуществляться исключительно в целях:

• обеспечения соблюдения законов и иных нормативных правовых актов;
• содействия работникам в трудоустройстве, получении образования и продвижении по службе;
• обеспечения личной безопасности работников;
• контроля количества и качества выполняемой работы;
• обеспечения сохранности имущества.

При этом самого понятия обработки персональных данных в комментируемой статье нет, оно предусмотрено в п. 3 ст. 3 Закона о персональных данных. Так, обработка персональных данных - это любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

При обработке персональных данных необходимо соблюдать следующие принципы, установленные в ст. 5 Закона о персональных данных:

• обработка персональных данных должна осуществляться на законной и справедливой основе;
• обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных;
• не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
• обработке подлежат только персональные данные, которые отвечают целям их обработки;
• содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки;
• при обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных;
• хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

Пункт 4 ст. 9 Закона о персональных данных устанавливает, что в случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности:

• фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
• фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных);
• наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных;
• цель обработки персональных данных;
• перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
• наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;
• перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;
• срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;
• подпись субъекта персональных данных.

При этом работник может отозвать согласие на обработку персональных данных (ч. 2 ст. 9 Закона о персональных данных). В этом случае оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии строго определенных оснований (например, если обработка персональных данных необходима для достижения целей, предусмотренных международным договором РФ или законом, для осуществления и выполнения возложенных законодательством РФ на оператора функций, полномочий и обязанностей) (пп. 2 ч. 1 ст. 6 Закона о персональных данных).

Особенности обработки персональных данных, осуществляемой без использования средств автоматизации, могут быть установлены федеральными законами и иными нормативными правовыми актами РФ с учетом положений Закона о персональных данных (ч. 3 ст. 4 закона).