Глава 2 Обработка персональных данных

2.1. Требование к обработке персональных данных

Обработкой персональных данных считается любое действие или их совокупность, которые совершаются с использованием или без использования средств автоматизации, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

При обработке персональных данных оператор обязан соблюдать такие принципы в своей работе, как например, осуществление обработки персональных данных должно производиться на законной и справедливой основе.

К обязательным принципам обработки персональных данных соответствующим оператором также можно отнести условие достижения конкретных, заранее определенных и законных целей. Отсюда следует недопустимость обработки персональных данных, если такая обработка противоречит изначальным целям сбора персональных данных.

Также необходимо уточнить, что объединение баз данных, которые содержат, возможно, даже одинаковые персональные данные, но созданные для разных целей недопустимо не при каких обстоятельствах.

Важно уточнить и то, что обработке подлежат только те персональные данные, которые отвечают целям обработки. Так, например, нельзя запрашивать у работника при оформлении трудовых отношений, данные, не предусмотренные трудовым законодательством Российской Федерации.

Необходимо также отметить, что одним из обязательных условий обработки персональных данных является условие, при котором содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. В этом случае не допускается обработка избыточных данных по отношению к заявленным целям обработки.

При обработке должны быть обеспечены точность и достаточность персональных данных, а в необходимых случаях - актуальность по отношению к целям обработки. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных.

Ну и заключительным принципом хотелось бы отметить, что форма хранения персональных данных должна позволять определять субъекта этих данных. Хранение не должно длиться дольше, чем этого требуют цели обработки. В этом случае если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, обрабатываемые данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

2.2. Условия обработки персональных данных. Согласие на обработку своих персональных данных

Статья 86 Трудового кодекса Российской Федерации предполагает обязательное соблюдение определенных требований и условий при осуществлении работодателем сбора, обработки, передачи и хранения сведений, содержащих персональные данные того или иного работника, когда либо осуществлявшего трудовую деятельность у этого работодателя.

Примером такого требования, может служить условие, закрепленное в пункте 1 статьи 86 Трудового кодекса Российской Федерации, а именно работодатель при осуществлении обработки персональных данных работника обязан действовать в целях соблюдения законов и других нормативных правовых актов. Такими целями могут являться содействие работникам в трудоустройстве, получении образования, продвижении по службе, обеспечения их личной безопасности, контроля качества и количества работы, сохранности имущества организации.

Также необходимо отметить тот факт, что получать персональные данные работодатель имеет право исключительно у работника. Если же возможность их получения представляется возможным исключительно от третьих лиц, то работодатель обязан уведомить об этом работника и обязательно получить его письменным согласием. Данная норма зафиксирована в пункте 3 статьи 86 Трудового кодекса Российской Федерации.

Ну и наконец, следует отметить, что обработка персональных данных предполагает, что работодатель обязан обеспечить за счет собственных средств защиту персональных данных, собранных от своих работников, от неправомерного использования и утраты. Более того работники под подпись должны быть ознакомлены с локальными нормативными актами, устанавливающими порядок обработки персональных данных на предприятии. Эта обязанность также возлагается на работодателя. Данные нормы прописаны в пунктах 7,8 статьи 86 Трудового кодекса Российской Федерации.

В силу пункта 1 статьи 6, статьи 9 Закона о персональных данных любая обработка персональных данных осуществляется исключительно с согласия работника. А так как при возможном возникновении спора, касающегося защиты персональных данных, бремя доказывания получения согласия работника на обработку его персональных данных ложится на работодателя. Эта норма следует из части 3 статьи 9 Закона о персональных данных. Соответственно работодателю просто необходимо оформить такое согласие письменно. В некоторых случаях письменная форма согласия прямо предусмотрена законом, что предусмотрено частью 4 статьи 9 Закона о персональных данных.

Также отмечу, что Трудовым кодексом Российской Федерации предусматриваются случаи прямого указания на необходимость получения работодателем письменного согласия работника на обработку его персональных данных.

Примером вышеуказанных случаев могут служить, необходимость получения согласия от работника при получении персональных данных у третьей стороны Данная норма зафиксирована в пункте 3 статьи 86 Трудового кодекса Российской Федерации.

Получение согласия также необходимо и при передаче персональных данных работника третьим лицам, за исключением тех случаев, когда это необходимо для предупреждения угрозы жизни и здоровью работника либо в иных предусмотренных федеральными законами случаях. Вышеуказанный факт предусмотрен в статье 88 Трудового кодекса Российской Федерации.

Пункт 4 статьи 86 Трудового кодекса Российской Федерации предполагает обязательное получение согласия на обработку персональных данных при необходимости сбора, хранения и т.д., специальных категорий персональных данных работника, непосредственно связанных с вопросами трудовых отношений. К этим данным могут относиться сведения о расовой или национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни.

Считаю важным отметить, что в случае недееспособности работника письменное согласие на обработку его данных дает его законный представитель, то есть родитель либо опекун в силу части 6 статьи 9 Закона о персональных данных. А в случае смерти работника при отсутствии согласия на обработку персональных данных, данного им при жизни, такое согласие оформляют его наследники, в силу части 7 статьи 9 Закона о персональных данных.

С согласия работника работодатель вправе поручить обработку его персональных данных (ведение кадрового, бухгалтерского учета и пр.) другому лицу, что прописано в части 3 статьи 6 Закона о персональных данных. Примером такой передачи может служить кадровый либо бухгалтерский аутсорсинг. При этом ответственность перед работником за действия указанного лица несет исключительно работодатель, что прописано в части 5 статьи 6 Закона о персональных данных.

Полный перечень того, что должно содержать согласие работника на обработку персональных, зафиксирован в части 4 статьи 9 Закона о персональных данных. Этот перечень включает в себя такие данные, как фамилия, имя, отчество, адрес работника, реквизиты документа, удостоверяющего его личность, включая дату выдачи и сведения о выдавшем его органе. А в случае получения согласия от представителя работника - его фамилию, имя, отчество, адрес, реквизиты документа, удостоверяющего его личность, включая дату выдачи и сведения о выдавшем его органе, а также реквизиты доверенности или иного документа, подтверждающего полномочия представителя. В согласии содержатся наименование или фамилию, имя, отчество и адрес работодателя. Его необходимым атрибутом является цель обработки персональных данных, перечень персональных данных, которые подлежат обработке, фамилия, имя, отчество и адрес лица или наименование организации, осуществляющих обработку персональных данных по поручению работодателя, если она поручена такому лицу или организации.

Наряду с вышеуказанными данными в согласие на обработку персональных данных следует включить перечень действий с персональными данными, на совершение которых работником дано согласие, общее описание способов их обработки, а также срок, в течение которого действует согласие работника на обработку его персональных данных, и способ отзыва согласия. Ну и обязательным атрибутом согласия является подпись работника либо его представителя.

Несмотря на то, что работник при оформлении трудовой деятельности либо в любой другой момент дал согласие на обработку своих персональных данных в силу части 2 статьи 9 Закона о персональных данных он в любое время вправе отозвать согласие на обработку персональных данных. В подобной ситуации продолжение обработки персональных данных работника без его согласия возможно лишь в случаях, когда такая обработка прямо определена в действующем законодательстве.

В силу абзаца 11 пункта 5 Разъяснений Роскомнадзора по "Вопросам, касающимся обработки персональных данных работников, соискателей на замещение вакантных должностей, а также лиц, находящихся в кадровом резерве"

получать согласие на обработку персональных данных нужно не только у работника, но и у соискателя. Однако если от имени соискателя действует кадровое агентство, с которым он заключил соответствующий договор, либо соискатель сам сделал его доступным неограниченному кругу лиц, например, разместив его на интернет – ресурсах, то согласие на обработку его персональных данных не требуется.

Согласие не будет требоваться и в случаях, когда обработка необходима в целях исполнения заключенного с работником договора или возложенных на работодателя обязанностей, функций и полномочий.

Более того, если отсутствие согласия на ту или иную часть обработки, прямо предусмотрено коллективным договором либо соглашением, а также локальными актами работодателя, принятыми в установленном статьей 372 Трудового кодекса Российской Федерации порядке, в таком случае отсутствие такового не будет являться нарушением.

Обязанность по обработке предусмотрена законодательством, в том числе для опубликования и размещения персональных данных работников в Интернете, например использование персональных данных работников, таких как фамилия, имя, отчество, образование, уровень профессиональной подготовки и т. д. на сайте организации, в которой они работают.

Существует и обработка персональных данных для работников, относящаяся к специальным категориям. К таковым можно отнести, например, обработку сведений о состоянии здоровья работника, которые касаются возможности выполнения им трудовой функции. Такая обработка допускается, например, в отношении сведений о состоянии здоровья педагогически работников, на основании части 2 статьи 331 Трудового кодекса Российской Федерации.

Допускается проведение обработки персональных данных, без получения письменного согласия, близких родственников работника в объеме, предусмотренном личной карточкой N Т-2, утвержденная, а также при получении алиментов, оформлении социальных выплат, допуска к государственной тайне и др. Также в этом случае допускается обработка персональных данных связанная с выполнением работником своих трудовых обязанностей.

Еще одним условием, при котором допускается обработка персональных данных, без оформления согласия субъекта подобной обработки, является цель, которая подтверждена необходимостью организации работодателем пропускного режима на территорию его служебных зданий и помещений

Ну и наконец, персональные данные работника передаются третьим лицам без надлежащего оформления согласия на обработку персональных данных, только в случаях, когда это обусловлено целью предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных законодательством Российской Федерации.