При передаче персональных данных работника работодатель должен соблюдать следующие требования

Содержание

не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных настоящим Кодексом или иными федеральными законами;

(в ред. Федерального закона от 30.06.2006 N 90-ФЗ)
не сообщать персональные данные работника в коммерческих целях без его письменного согласия;

предупредить лиц, получающих персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные работника, обязаны соблюдать режим секретности (конфиденциальности). Данное положение не распространяется на обмен персональными данными работников в порядке, установленном настоящим Кодексом и иными федеральными законами;

(в ред. Федерального закона от 30.06.2006 N 90-ФЗ)

осуществлять передачу персональных данных работника в пределах одной организации, у одного индивидуального предпринимателя в соответствии с локальным нормативным актом, с которым работник должен быть ознакомлен под роспись;

(в ред. Федерального закона от 30.06.2006 N 90-ФЗ)

разрешать доступ к персональным данным работников только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные работника, которые необходимы для выполнения конкретных функций;

не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции;

передавать персональные данные работника представителям работников в порядке, установленном настоящим Кодексом и иными федеральными законами, и ограничивать эту информацию только теми персональными данными работника, которые необходимы для выполнения указанными представителями их функций.

Ст. 88 ТК РФ: официальный текст

Представление о персональных данных человека и основные правила работы с ними содержатся в законе РФ «О персональных данных» от 27.07.2006 № 152-ФЗ. Любые сведения, относящиеся к конкретному лицу, являются его персональными данными, на получение и использование которых необходимо получить согласие этого лица.

Чаще всего персональные данные оказываются нужны работодателю, и обычно при трудоустройстве берутся у работника сведения, подтверждаемые:

паспортом или иным удостоверением личности;

Можно ли хранить копию паспорта в личном деле работника? Ответ на этот вопрос есть в КонсультантПлюс. Получите пробный демо-доступ к системе К+ и бесплатно переходите в материал.

Общие требования при обработке персональных данных и гарантии их защиты

трудовой книжкой;
свидетельством ПФР;
документами об обучении;
документами воинского учета;
дополнительными справками, удостоверяющими какие-либо необходимые для трудоустройства обстоятельства.

Получивший персональную информацию работодатель не только собирает и обрабатывает ее в пределах своего подразделения (службы персонала), но и передает в другие подразделения (бухгалтерию, юридическую службу), а также третьим лицам (СФР, ИФНС, банкам, органам внутренних дел, судам).

Какие требования содержатся в ст. 88 ТК РФ?

Ст. 88 ТК РФ, констатируя необходимость передачи персональных данных третьим лицам, устанавливает правила, с соблюдением которых она должна осуществляться работодателем:

такая передача возможна при наличии письменного согласия работника, если только ситуация не требует такой информации в связи с угрозой его жизни или здоровью или если иное не предусмотрено законодательно;
запрещается сбор информации о состоянии здоровья работника, за исключением той, которая необходима для оценки пригодности работника к выполнению его должностных обязанностей;
доступ к персональным сведениям о человеке может иметь ограниченное число сотрудников работодателя, при этом каждый из них должен использовать только те сведения, которые ему необходимы для работы;
правила обмена информацией между подразделениями работодателя следует закрепить во внутреннем нормативном акте, ознакомив с ними всех работников под расписку;

при всех процедурах, связанных с персональной информацией, должен соблюдаться режим максимальной конфиденциальности, независимо от того, на каком этапе это происходит: при сборе данных, передаче подразделениям работодателя или третьим лицам;
представителям работников персональная информация предоставляется в минимально необходимом для обозначенных целей объеме;
передав сведения третьему лицу, работодатель обязан предупредить его об ограниченном применении этих сведений (только в тех целях, для которых они переданы) и проконтролировать соблюдение этого условия.

ВНИМАНИЕ! Согласие на обработку сведений, разрешенных для распространения, нужно оформлять отдельно от других подобных документов.

Статья 88 ТК РФ. Передача персональных данных работника (действующая редакция)

При передаче персональных данных работника работодатель должен соблюдать следующие требования:

не сообщать персональные данные работника в коммерческих целях без его письменного согласия;

Постоянная ссылка на документ
URL документа [ скопировать ]
HTML-код ссылки для вставки на страницу сайта [ скопировать ]
BB-код ссылки для форумов и блогов [ скопировать ]
в виде обычного текста для соцсетей и пр. [ скопировать ]
Скачать документ в формате

Комментарий к ст. 88 ТК РФ

1. В комментируемой статье сформулированы требования, которые обязан соблюдать работодатель при передаче персональных данных работника. Работодатель по общему правилу не вправе сообщать кому бы то ни было персональные данные работника без его письменного согласия. Исключения из этого правила могут устанавливаться специальными законами.

2. Законодательством РФ прямо предусматриваются случаи, когда работодатель обязан передать персональные данные работников специально уполномоченным лицам и организациям.

Так, в соответствии с Законом об индивидуальном учете работодатели, являющиеся страхователями, представляют в соответствующий орган Пенсионного фонда РФ сведения обо всех лицах, работающих у них по трудовому договору, а также заключивших договоры гражданско-правового характера, на вознаграждения по которым в соответствии с законодательством РФ начисляются страховые взносы, за которых они уплачивают страховые взносы. Документы в электронной форме, содержащие указанные сведения, должны быть заверены электронной цифровой подписью.

Статья 6 этого Закона уточняет, что к сведениям, сообщаемым органам Пенсионного фонда РФ, относятся:

— фамилия, имя, отчество; фамилия, которая была у застрахованного лица при рождении;

— адрес постоянного места жительства;

— серия и номер паспорта или удостоверения личности, дата выдачи указанных документов, наименование выдавшего их органа;

— дата регистрации в качестве застрахованного лица.

Приведенный перечень не является исчерпывающим.

В соответствии с Законом о воинской обязанности воинский учет граждан осуществляется по месту их жительства военными комиссариатами, которые вправе запрашивать у работодателей сведения, содержащие персональные данные лиц, подлежащих воинскому учету.

Правом требовать от работодателей информацию, в т.ч. информацию о персональных данных работников, обладают органы прокуратуры, полиции, государственной инспекции труда.

3. В некоторых случаях работодатели могут передать персональные данные работников при осуществлении дополнительного медицинского страхования работников. При этом порядок передачи персональных данных должен быть осуществлен только с письменного согласия работников в порядке, определенном приказом работодателя или локальным нормативным актом, принимаемым работодателем в целях защиты персональных данных работников.

4. Для сохранения режима конфиденциальности в отношении персональных работников работодатель обязан определить перечень лиц, которые в силу заключенного с ними трудового договора и возложенных на них трудовых обязанностей имеют право работать с персональными данными работников.

В должностные инструкции таких работников должны быть включены положения, регламентирующие права, обязанности и ответственность данных лиц, возникающую при работе с персональными данными работников.

В частности, в организации должны быть назначены ответственные за обработку персональных данных; в обязанности этих лиц могут быть включены полномочия на обработку персональных данных, осуществление взаимодействия с субъектами персональных данных, хранение, использование и удаление персональных данных, обеспечение безопасности персональных данных.

Источник комментария:

Отв. ред. Ю.П. Орловский «КОММЕНТАРИЙ К ТРУДОВОМУ КОДЕКСУ РОССИЙСКОЙ ФЕДЕРАЦИИ», изд.6-е АКТУАЛИЗАЦИЯ

ОРЛОВСКИЙ Ю.П., ЧИКАНОВА Л.А., НУРТДИНОВА А.Ф., КОРШУНОВА Т.Ю., СЕРЕГИНА Л.В., ГАВРИЛИНА А.К., БОЧАРНИКОВА М.А., ВИНОГРАДОВА З.Д., 2014

ТК РФ Статья 88. Передача персональных данных работника

. третьим лицам По общему правилу ст. 88 ТК РФ работодатель вправе осуществлять . и здоровью работника Абзац 2 ст. 88 ТК РФ, абз. 1 п. 4 .

. должен быть ознакомлен под роспись (ст. 88 ТК РФ). Порядок хранения и использования . . 87 ТК РФ). В силу ст. 88 ТК РФ доступ к персональным данным .

. передаче персональных данных работников установлены ст. 88 ТК РФ, из которой следует, что . . Поскольку работодатель обязан соблюдать предусмотренные ст. 88 ТК РФ правила передачи персональных данных .

Статья 88 ТК РФ. Передача персональных данных работника

Ст. 88 ТК отведена под описание нюансов передачи персональных данных сотрудника. Она имеет списочный формат.

Трудовой кодекс Российской Федерации от 30.12.2001 N 197-ФЗ

Полный текст статьи, путеводители, дополнительная информация – в КонсультантПлюс

не сообщать вышеупомянутые сведения третьей стороне без письменного согласия сотрудника, за исключением ситуаций, когда это нужно для профилактики угрозы жизни и здоровью служащего, а также в прочих ситуациях, прописанных в ТК или других общефедеральных законах;
не сообщать личные данные в коммерческих целях без письменного согласия самого служащего;
предупредить лиц, получающих личные данные, о том, что эти сведения могут применяться лишь в тех целях, для которых они сообщены, и требовать от упомянутых лиц подтверждения соблюдения этого правила. Эти лица должны придерживаться режима секретности. Это требование не распространяется на обмен личными данными служащих в порядке, прописанном в ТК и прочих общефедеральных законах;
осуществлять передачу вышеупомянутых сведений в пределах организации, ИП в соответствии с локальным актом нанимателя, с которым служащий должен быть ознакомлен под роспись;
разрешать доступ к личным сведениям служащих только специально уполномоченным лицам, при этом упомянутые лица должны получать лишь те данные, которые нужны для выполнения конкретных функций;
не запрашивать информацию о здоровье служащего, за исключением сведений, относящихся к вопросу о возможности выполнения им определённых должностных функций;
передавать личные данные служащего представителям сотрудников в порядке, закреплённом ТК и прочими общефедеральными законами, и ограничивать эту передачу лишь теми данными, которые нужны для выполнения упомянутыми представителями их функций.

Рассмотренная статья содержит семь критериев, которых должен придерживаться наниматель при передаче личной информации о подчинённых. Смысл этих ограничений состоит в профилактике ситуаций, когда закрытые сведения о персонале попадают в руки лиц, которые могут некорректно ими распорядиться. Важно, что почти все пункты ст. 88 ТК упоминают об исключениях в плане доступа третьих лиц к личной информации о сотрудниках.

Вопросы по ст. 88 ТК

О каких прочих ситуациях говорится в п. 1 приведённого в этой статье списка?

Актуальное отраслевое законодательство предусматривает довольно много ситуаций, когда личная информация о гражданине передаётся специализированным госструктурам. Примеры:

п. 4 ст. 14 ФЗ №3 от 07.02.11 «О полиции» – в нём закреплены права полиции на доступ к закрытой информации о лицах, которые могут быть каким-то образом связаны с противоправными действиями и сомнительными ситуациями;
п. 2.1 ст. 4 ФЗ №2202-1 от 17.01.92 «О прокуратуре» – в нём подчёркнуто, что прокурорские подразделения могут получать доступ к закрытой информации о гражданах;
статьи 8 и 15 ФЗ №230 от 03.12.12 – они закрепляют возможность профильных структур получать конфиденциальную информацию о госслужащих, в первую очередь относительно их финансов.

Как видно из этого перечня, ситуации, когда личная информация о служащих передаётся третьим лицам, даже без их разрешения, зачастую выходят за рамки трудового права.

О какой личной информации медицинского характера упоминается в ст. 88 ТК?

Профильное законодательство упоминает много ситуаций, когда закрытая информация о здоровье сотрудника передаётся заинтересованным сторонам. Примеры:

п. 4 ст. 13 ФЗ №25 от 02.03.07 – относительно граждан, задействованных в системе муниципальной службы;
п. 2 ст. 10 ФЗ №16 от 09.02.07 – для лиц, занятых в структурах безопасности на транспорте;
ст. 7 ФЗ №77 от 14.04.99 – касательно лиц, претендующих на работу в сфере ведомственной охраны.

Как видно из перечня, частичное нарушение конфиденциальности в плане доступа к данным о здоровье персонала обусловлена необходимостью профилактики возникновения критичных ситуаций для третьих лиц.

Статья 88. Передача персональных данных работника

При передаче персональных данных работника работодатель должен соблюдать следующие требования:

не сообщать персональные данные работника в коммерческих целях без его письменного согласия;

Комментарии к статье 88 ТК РФ:

Так, в соответствии с Законом об индивидуальном учете работодатели, являющиеся страхователями, представляют в соответствующий орган Пенсионного фонда РФ сведения о всех лицах, работающих у него по трудовому договору, а также заключивших договоры гражданско-правового характера, на вознаграждения по которым в соответствии с законодательством РФ начисляются страховые взносы, за которых он уплачивает страховые взносы. Документы в электронной форме, содержащие указанные сведения, должны быть заверены электронной цифровой подписью. Статья 6 этого Закона уточняет, что к сведениям, сообщаемым органам Пенсионного фонда, относятся: фамилия, имя, отчество, фамилия, которая была у застрахованного лица при рождении; дата рождения; место рождения; пол; адрес постоянного места жительства; серия и номер паспорта или удостоверения личности, дата выдачи указанных документов, наименование выдавшего их органа; гражданство; дата регистрации в качестве застрахованного лица. Приведенный перечень не является исчерпывающим.

Правом требовать от работодателей информацию, в том числе информацию о персональных данных работников, обладают правоохранительные органы прокуратуры, милиции, органы государственной инспекции труда.

3. В некоторых случаях работодатели могут передать персональные данные работников при осуществлении дополнительного медицинского страхования работников. При этом порядок передачи персональных данных должен быть осуществлен только с письменного согласия работников в порядке, определенном приказом работодателя или в локальном нормативном акте, принимаемом работодателем в целях защиты персональных данных работников.

4. Для сохранения режима конфиденциальности в отношении персональных данных работников работодатель обязан определить перечень лиц, которые в силу заключенного с ними трудового договора и возложенных на них трудовых обязанностей имеют право работать с персональными данными работников.

В частности, в организации могут быть назначены ответственные за обработку персональных данных, в обязанности этих лиц могут быть включены полномочия на обработку персональных данных, осуществление взаимодействия с субъектами персональных данных, хранение, использование и удаление персональных данных, обеспечение безопасности персональных данных.

«Комментарий к Трудовому кодексу Российской Федерации» (постатейный)
(8-е издание, исправленное, дополненное и переработанное)
Азарова Е.Г., Бочарникова М.А., Коршунова Т.Ю., Нуртдинова А.Ф., Орловский Ю.П., Серегина Л.В., Чиканова Л.А.
отв. ред. Ю.П. Орловский
«КОНТРАКТ», 2019

Хранение и использование персональных данных

В соответствии со ст. 87 ТК РФ порядок хранения и использования персональных данных работников устанавливается работодателем. Работодатель должен издать соответствующий локальный нормативный акт, регулирующий вопросы хранения и использования персональных данных, а также обеспечивающий защиту последних от неправомерного их использования или утраты. С соответствующим актом, а также со своими правами в сфере защиты персональных данных работники должны быть ознакомлены под подпись.

Работодатель утверждает перечень сотрудников, которые будут обрабатывать персональные данные и которые имеют к ним доступ. Чаще всего это входит в обязанности бухгалтера и кадрового специалиста. Таким сотрудникам будут доступны только те данные, которые необходимы для выполнения конкретных функций, то есть по конкретным направлениям их деятельности (ст. 88 ТК РФ).

Порядок допуска к персональным данным сотрудников закон не устанавливает. Поэтому работодатель вправе определить его самостоятельно и прописать в локальном акте организации, например, в Регламенте допуска работников к обработке персональных данных. В этом документе также необходимо указать конкретный перечень сотрудников, которые имеют доступ к персональным данным других сотрудников.

Также издайте приказ, в котором пропишите должности и фамилии сотрудников, а также закрепленные за ними объекты обработки персональных данных.

Журналы учета персональных данных

Работодатель обязан соблюдать режим конфиденциальности персональных данных своих сотрудников. Следует ограничить и регламентировать состав работников, функциональные обязанности которых требуют доступа к персональным данным других работников. Не лишним также будет вести журналы учета персональных данных, их выдачи и передачи другим лицам и представителям различных организаций, государственным органам.

В журнале учета внутреннего доступа к персональным данным (доступа работников организации к персональным данным других работников) следует указывать такие сведения, как дата выдачи и возврата документов, срок пользования, цели выдачи, наименование выдаваемых документов. Лицо, которое возвращает документ, должно обязательно присутствовать при проверке наличия всех имеющихся документов по описи, если выданные документы составлены более чем на одном листе.

Помимо этого, также следует вести журнал учета выдачи персональных данных работников организациям и государственным органам, в котором необходимо регистрировать поступающие запросы, а также фиксировать сведения о лице, направившем запрос, дату передачи персональных данных или уведомления об отказе в их предоставлении и отмечать, какая именно информация была передана.

Система учета персональных данных также может предусматривать проведение регулярных проверок наличия документов и других носителей информации, содержащих персональные данные работников, а также устанавливать порядок работы с ними. В этой связи необходимо ведение журнала проверок наличия документов, содержащих персональные данные работника.

Требования к помещению, где хранятся персональные данные

Работодатель может предусмотреть в локальном нормативном акте требования к помещениям, в которых находятся носители информации (например, компьютеры с базами данных, документы на бумажных носителях), содержащие персональные данные работников.

Обращаем внимание, что Закон о персональных данных и Трудовой кодекс РФ не устанавливают каких-либо требований к упомянутым помещениям. Представляется, что работодатель может определить особый порядок доступа сотрудников в помещения, в которых ведется обработка персональных данных, требования к оборудованию, определить состав работников, имеющих право доступа в данные помещения.

Риски при нарушении требований к обработке персональных данных работников организации

В соответствии со ст. 13.14 КоАП РФ разглашение подобной информации (за исключением случаев, если такое разглашение влечет уголовную ответственность) лицом, получившим доступ к ней в связи с исполнением служебных или профессиональных обязанностей, влечет наложение административного штрафа:

— на граждан — от 500 до 1 000 руб.;
— на должностных лиц — от 4 000 до 5 000 руб.

Следовательно, если будет установлено, что разглашение персональных данных произошло по вине работника, ответственного за хранение, обработку и использование персональных данных

За нарушение законодательства в области персональных данных работодатель может быть привлечен к административной ответственности по ст. 13.11 КоАП РФ.

В частности, обработка персональных данных без письменного согласия работника (когда оно необходимо), если эти действия не содержат уголовно наказуемых деяний, влечет наложение штрафа (ч. 2 ст. 13.11 КоАП РФ):

— на граждан — от 6 до 10 тыс. руб., повторное нарушение — от 10 до 20 тыс. руб.;
— должностных лиц — от 20 до 40 тыс. руб., повторное нарушение — от 40 до 100 тыс. руб.;
— юридических лиц — от 30 до 150 тыс. руб., повторное нарушение — от 300 до 500 тыс. руб.

Такие же меры предусмотрены ч. 2 ст. 13.11 КоАП РФ за обработку персональных данных с нарушением требований к составу сведений, включаемых в письменное согласие.

При этом если работник, ответственный за хранение, обработку и использование персональных данных других работников, злоупотреблял своими служебными полномочиями, распространял сведения о частной жизни других работников без их согласия, то он может быть привлечен к уголовной ответственности по ч. 2 ст. 137 УК РФ, которой предусмотрено лишение свободы на срок до четырех лет.