Вопросы к Юристу

Защита обработки персональных данных

Конституцией РФ предусматривается защита персональных данных – необходимая работодателю информация о сотруднике, предусматриваемая трудовыми отношениями и касающаяся конкретного человека.

Узнайте в статье о защите персональных данных, основных методах и возможных сложностях.

Дорогие читатели! Наши статьи рассказывают о типовых способах решения юридических вопросов, но каждый случай носит уникальный характер.

Если вы хотите узнать, как решить именно Вашу проблему - просто позвоните, это быстро и бесплатно !

Что следует подразумевать под персональными данными:

  • ФИО человека,
  • год, месяц и число рождения,
  • место рождения,
  • адреса,
  • семейное положение,
  • социальный статус,
  • информация об имуществе,
  • образование,
  • профессия,
  • доходы и прочее.

Как защитить персональные данные?

Федеральный закон №149, а в частности его статья 16 предусматривает комплекс мер, направленных на защиту персональных данных работников организаций.

В соответствии с законом, работодатель должен обеспечить защиту полученной им информации от каких-либо действий с третей стороны, которые могут быть выражаться в следующем:

  • неправомерный доступ к информации,
  • модифицирование,
  • уничтожение,
  • блокировка,
  • копирование,
  • распространение и пр.

Меры защиты информации:

  1. Для защиты информации личного характера работников, работодатель должен соблюдать элементарные правила конфиденциальности доступа к данным.
  2. Предотвращение неправомерного доступа к данным и последующей их передачи.
  3. В случае несанкционированного доступа – своевременное обнаружение данного факта и исключение возможных негативных последствий подобного действия.
  4. Предотвращение возможности воздействия на технические средства, которыми производится обработка информации во избежание нарушения их функционирования.
  5. Обеспечить наличие защищенных копий с целью незамедлительного восстановления данных в случае несанкционированного доступа к ним.
  6. Основной мерой является контроль, в частности – за уровнем защищенности данных.

Поскольку информация о работниках чаще всего хранится в электронном виде, образуя базы данных в информационных системах, то целесообразно рассмотреть методы и способы защиты именно в этой области.

Рассмотрим основные способы защиты персональных данных сотрудников в информационной системе:

  • самое первое, что необходимо сделать – ограничить доступ лиц к помещениям с техническими средствами, которые осуществляют обработку и хранение информации. Обеспечить охраной такие помещения,
  • использование антивирусов. Подобные программы позволят предотвратить утечку информации, препятствуя работе вирусов и червей,
  • обеспечение защиты межсетевыми экранами. Такой метод направлен на защиту от целенаправленных атак, в то время как цель антивируса – массовые,
  • установка систем предотвращения вторжения, задача которых – выявление нападений и блокировка наиболее активных атак в проходящем трафике,
  • обеспечение системы сканерами уязвимости позволяют проверять ее на наличие «брешей»,
  • организовать регистрацию действий работников,
  • осуществлять контроль входящей-исходящей информации,
  • не менее значимы криптографические методы защиты информации (шифрование).

Проблемы, возникшие после появления закона, для некоторых остались актуальными.

Так, среди основных вопросов:

  • классификация сведений о сотруднике,
  • необходимость получить лицензию ФСТЭК РФ, позволяющую действовать в рамках технической защиты конфиденциальных данных,
  • не меньшую проблему представляют завышенные, по мнению экспертов, требования к системе защиты информации,
  • вопрос по определению ответственного сотрудника за процесс защиты данных и пр.

Решение этих проблем каждая отдельная организация находит сама, руководствуясь законами и прибегая к помощи опытных юристов.

Не смотря на то, что многие эксперты считают Федеральный закон обобщенным и нуждающимся в доработке, этот документ все же обеспечивает выполнение права человека на конфиденциальность.

Суть закона заключается в требовании к компаниям создавать безопасные и защищенные информационные системы, которые будут доступны не только для сохранения личных данных работников, но и любой другой конфиденциальной информации организации.

Качество защиты информации не только о сотрудниках, но и компании в целом зависит от отношения руководителя к этому процессу, к правам работников и к своим собственным, поскольку именно администрация предприятий обязана осуществлять контроль за выполнением закона и соблюдением порядка хранения-защиты персональных данных.

Модель угроз безопасности ПДн: пример

Предположим, что в результате оценки исходного уровня защищенности информационной системы, внутренних и внешних нарушителей, анализа возможных уязвимостей информационной системы, возможных способов реализации и последствий реализаций угроз безопасности ПДн, модель угроз будет содержать следующие виды угроз*:

* Перечень актуальных угроз представлен в качестве примера и не может быть использован как эталон или руководство при построении модели угроз безопасности персональных данных.

Основными источниками угроз в данном случае будут выступать:

  • внешние нарушители — внешние субъекты, находящиеся вне границ контролируемой зоны организации,
  • внутренние нарушители — сотрудники, имеющие доступ в контролируемую зону организации, но не имеющие доступа к персональным данным.

Напомним, что контролируемая зона — это территория объекта, на которой исключено неконтролируемое пребывание лиц, не имеющих постоянного или разового доступа.

Построение системы защиты персональных данных

В соответствии с Приказом ФСТЭК России от 18.02.2013 № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» определяем состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационной системе для 4-го уровня защищенности ПДн.

Рассмотрим техническую реализацию отдельно выбранных мер по обеспечению безопасности персональных данных:

Как видно из таблицы выше, для нейтрализации актуальных угроз безопасности персональных данных используются межсетевой экран и антивирусные средства защиты информации. Кроме того, согласно приказу ФСТЭК России № 21, для обеспечения 4-го уровня защищенности персональных данных межсетевой экран и антивирусное средство должны иметь сертификаты соответствия не ниже 5-го класса по требованиям безопасности информации средств защиты информации.

ПО обработки ПДн также используется в качестве способа реализации требований приказа ФСТЭК России № 21, однако оно не используется для нейтрализации актуальных угроз безопасности ПДн, а следовательно, процедура оценки соответствия (сертификация) такого ПО не требуется.

Текущая система защиты персональных данных позволит разграничить доступ к серверу обработки персональных данных и защитит рабочие станции от актуальных угроз безопасности.

Наличие у программы сертификата соответствия ФСТЭК не решает проблемы защиты ПДн. Существует множество средств защиты информации и сценариев их использования. Для построения эффективной и адекватной системы защиты персональных данных важно понимать принципы и порядок реализации мер, направленных на обеспечение безопасности ПДн.

Что входит в понятие «персональные данные»?

Определение персональных данных (ПДн) содержится в законе 152-ФЗ .

Ключевой особенностью трактовки является словосочетание «любая информация», то есть закон позволяет буквально все организации записать в «операторы персональных данных». Логика понятна. Устраиваясь, например, на работу человек передает работодателю всю информацию о себе, а заключая, скажем, договор с физическим лицом – получает и обрабатывает ПДн. Госструктуры, банки, интернет-магазины, социальные сети – это всего лишь несколько примеров из обширного списка операторов ПДн.

Санкции за нарушение норм закона в области обработки и защиты персональных данных варьируются от штрафов (с 1 июля 2017 года размеры штрафов выросли ) до административной ответственности, не исключено и уголовное преследование.

Нарушение процедуры обращения с персональными данными угрожает также потерей деловой репутации. Выявление подобных фактов в компания нередко становится поводом для оттока клиентов. Значит, исполнять требования 152-ФЗ и соблюдать предписания регулирующих и контролирующих сферу ПДн структур – жизненная необходимость для каждой компании, которая прямо или опосредованно оперирует персональными данными.

Универсального подхода к исполнению требований всеми организациями, которые подпадают под контроль регуляторов, нет. Согласно законодательству, персональные данные разбиты на четыре категории. Компании формируют систему защиты ПДн в зависимости от категории, соответственно, различаются и требования к оператору.

Наиболее сложный и затратный процесс – внедрение полноценного комплекса обеспечения защищенности информационной системы персональных данных (ИСПДн) , в которой обрабатываются сведения о расе и нации субъекта, вере, здоровье, интимной жизни, политических и философских взглядах. Все перечисленные данные входят в группу специальных ПДн . Защищу сведений из этой категории закон требует обеспечивать особенно тщательно.

Высоки требования закона к обеспечению защищенности и биометрических ПДн : биологических и физиологических характеристик, которые позволяют идентифицировать субъекта данных.

Компания, которая получила письменное согласие клиента на обработку ФИО, даты и места рождения, домашнего адреса, данных о профессии, контактных сведений, становится оператором общедоступных ПДн . Подобные сведения используют, например, для составления телефонных справочников. К защите общедоступных персональных данных законодательство предъявляет минимальные в сравнении с другими категориями требования.

К четвертой категории – иных ПДн – причисляют все сведения, которые нельзя отнести к специальным, биометрическими или специальным, но по которым возможно идентифицировать субъекта данных. Защищать иные ПДн проще, чем биометрические или специальные. Однако требования к безопасности выше, чем в случае систем обработки данных из общедоступной категории.

Согласно постановлению правительства от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», операторы при создании механизмов защиты должны учитывать численность субъектов ПДн. Законодательство делит ИСПДн на такие, в которых обрабатывают данные менее 100 тыс. и более 100 тыс. субъектов.

Обеспечение сохранности персональных данных, обрабатываемых в системе, начинается с определения наиболее вероятных угроз. Независимо от категории, целей обработки и численности субъектов ПДн, система должна гарантировать защиту от неправомерных операций , включая:

В инфраструктуре комплексной защиты ИСПДн необходимо учитывать возможность присутствия внутреннего нарушителя. Ущерб персональным данным способен причинить любой сотрудник, намеренно или по неосторожности.

Меры, которые помогают предотвратить несанкционированный доступ, усилить надежность и отказоустойчивость ИСПДн, сохранить целостность и доступность информации внутри системы, перечислены в 152-ФЗ. Закон предписывает:

1. Определить масштаб информационной системы и категорию ПДн, смоделировать угрозы безопасности.

2. Внедрить организационно-технические механизмы безопасности в соответствии с четырьмя уровнями защищенности. Определение уровней содержится в постановлении правительства №1119 .

3. Использовать средства информационной защиты, возможности которых подтверждены сертификатами соответствия ФСТЭК и/или ФСБ.

4. Провести до начала обработки ПДн комплексный аудит безопасности, включая аудит информационной системы, компонентов защиты, исполнения требований внутренних организационных и методических распоряжений.

5. Внедрить систему учета всех видов носителей информации ограниченного использования, в том числе ПДн.

6. Заложить в информационной системе функции резервирования и восстановления ПДн в случае несанкционированных изменений или уничтожения.

7. Установить регламент доступа сотрудников оператора к персональным данным в ИС. Уровни доступа должны сегментироваться в зависимости от должностных обязанностей.

8. Внедрить инструменты аудита и журналирования действий сотрудников с персональными данными.

9. Контролировать исполнение правил безопасности эксплуатации персональных данных и непрерывность работы защитных аппаратно-программных сервисов ИСПДн.

Федеральный закон обозначает общее «защитное поле» персональных данных. Конкретные нормы содержатся в приказе ФСТЭК от 18.02.2013 № 21 . Например:

1. В системе обработки ПДн должна применяться идентификация и аутентификация пользователей, компонентов системы и персональной информации – объектов доступа, защиту которых нужно обеспечивать. Реализация требования предполагает сопоставление уникальных идентификаторов, которые присваиваются объектам и субъектам в ИСПДн. Это значит, необходимо задействовать механизмы авторизации и разграничения прав.

2. Программная среда должна быть ограниченной, что подразумевает наличие фиксированного перечня системного и прикладного ПО. У пользователя должны быть заблокированы полномочия изменять набор системных компонентов и разрешенного ПО. Пользователь вправе запускать и использовать ПО в рамках своей роли. Это обеспечит защиту от случайных действий сотрудников, способных нанести ущерб ИСПДн.

3. Хранение и обработка ПДн на съемных носителях возможна только при отлаженном учете устройстве.

4. Оператор должен обеспечить непрерывный мониторинг безопасности: вести журнал аудита событий, чтобы отследить, что произошло и какие меры были предприняты. Одновременно следует надежно защитить сам журнал аудита от модификации и удаления.

5. Система защиты ПДн должна включать антивирусные программные комплексы. Вредоносное ПО нередко становится причиной утечек конфиденциальной информации и частичного (реже – полного) выхода из строя информационной инфраструктуры.

6. Наряду с антивирусом рекомендуется применять системы обнаружения и предотвращения вторжений. Это позволяет анализировать и выявлять факты неавторизованного доступа на уровне сети или компьютерной системы, попытки превышения полномочий или внедрения вредоносного ПО и предпринимать меры по устранению угроз: информирование офицера безопасности, сброс соединения, блокирование трафика и т.д.

7. Несанкционированное изменение, повреждение информационной системы и ПДн фиксируют также системы обеспечения целостности, которые при использовании в ИСПДн должны иметь функции восстановления поврежденных компонентов и информации.

8. Уровень защищенности ИСПДн подлежит регулярному контролю. Развернутые программные компоненты, аппаратный инструментарий и установленные настройки должны обеспечивать непрерывную и полную защиту процедур обработки и хранения информации, исходя из экспертного класса информационной системы.

Перечень мер, устанавливаемых ФСТЭК для реализации системы безопасности ИСПДн, не исчерпывается несколькими пунктами. В приказе № 21 приводятся требования к инструментам виртуализации, каналам связи, конфигурации ИСПДн, классы средств вычислительной техники, антивирусных систем и другие параметры защиты. Кроме приказа ФСТЭК, при внедрении комплекса защиты ПДн организация – обработчик данных должна руководствоваться приказом ФСБ России от 10.07.2014 № 378.

Разработать и внедрить полный комплекс мероприятий по защите ПДн невозможно без освоения нормативной базы, навыков настройки технических средств и знаний принципов ПО, обеспечивающего информационную безопасность. Это значит, защищать персональные данным силами одного сотрудника, по меньшей мере недальновидно. Единственная ошибка на любом уровне рискует обернуться штрафами от регуляторов и потерей лояльности клиентов.

Сотруднику без ИБ-компетенций под силу разобраться в законодательстве и определить категорию ПДн. Пошаговые инструкции, доступные в Сети, помогут разработать регламент информирования субъектов ПДн о сборе информации и составить уведомление в Роскомнадзор о деятельности компании в качестве оператора ПДн – это стандартные документы. Определить роли, разграничить доступ и зафиксировать, какие сотрудники имеют доступ и какие операции вправе совершать с ПДн – несложная задача для специализированного ПО.

Без привлечения специалиста с профильными знаниями не обойтись на этапе при составлении политики безопасности и определении актуальных угроз. Цикл внедрения программно-технических комплексов от подбора до «боевого» использования ПО и оборудования требует понимания документации ФСТЭК и ФСБ. Специалист должен не только ориентироваться в классах СВТ, антивирусах и межсетевых экранах, но и знать, как гарантировать конфиденциальность и обеспечить безотказность связи для сегментов ИСПДн.

Проблема заключается в том, что даже обладающий нужной квалификацией ИТ- или ИБ-специалист не сможет внедрить и поддерживать в ИСПДн подсистему информационной безопасности без соблюдения ряда условий. Работа со средствами технической защиты – деятельность, лицензируемая ФСТЭК. Значит, перед оператором ПДн встанет задача получить лицензию регулятора.

Крупным организациям целесообразно нанять штат специалистов по информационной безопасности, выполнить условия, чтобы получить лицензию ФСТЭК, а затем самостоятельно создать и поддерживать систему обеспечения защиты персональных данных.

Небольшим организациям – обработчикам ПДн содержать ИБ-штат экономически невыгодно. Менее затратным, более разумным и быстрым будет вариант привлечь лицензиатов ФСТЭК. Это организации, которые профессионально занимаются защитой информации. Специалисты лицензиатов уже обладают всеми знаниями нормативной и технической базы, имеют опыт создания комплексных систем безопасности, в том числе информационной.

Общий перечень

Оператор обязан проверить внутренние системы защиты и подготовить такие документы в единый комплект:

  1. Перечень ПД, подлежащих защите в информационных системах, согласно установленному ФЗ от 27.06.2006 года № 152 «О персональных данных».
  2. Приказ о назначении ответственных сотрудников за организацию обработки ПД и перечне мер по их защите.
  3. Список конфиденциальных сведений. В нем следует указать, что он разработан согласно закону «О персональных данных». Все виды категорий можно выполнить в виде таблицы.
  4. Инструкция администратора по безопасности. Назначается приказом руководителя. В документе следует перечислить должностные обязанности.
  5. Список помещений, где проводится обработка ПД.
  6. Приказ об утверждении мест хранения ПД.
  7. Проект информационной системы ЗПД.
  8. Инструкция пользователей системы ПД. Определяет обязанности тех, кто ведет работу с ПД.
  9. Порядок восстановления и резервирования работы программного обеспечения, технических средств, средств защиты информации и баз данных.
  10. Приказ по уничтожению ПД специальной комиссией. После выполненной обработки ПД необходимо уничтожить.
  11. Приказ об эксплуатации информационной системы, заключение о вводе в эксплуатацию.
  12. План внутренних проверок режима ЗПД. План рекомендовано выполнить в виде таблицы с указанием периодичности проверок оборудования и режима.
  13. Журнал учета действий по контролю данных. В таблицу можно записывать проводимые мероприятия.
  14. Журнал учета носителей информации.
  15. Журнал учета обращений субъектов ПД о выполнении их законных прав.
  16. Положение о правах доступа к обрабатываемым личным данным.
  17. План проведения внутренних проверок защищенности персональных данных.
  18. Акт классификации системы. Это база данных с личной информацией, где следует указать:

  • категории персональных данных,
  • кем используется система,
  • режим и объем обрабатываемой информации,
  • тип и структуру системы,
  • расположение технических средств,
  • подключение к другим сетям связи.
  • Правила обработки без применения автоматизированных средств.
  • Инструкция по организации защиты пароля и антивирусного контроля.
  • Форма акта по утилизации документов, содержащих личную информацию.
  • Журнал тестирования средств информационной защиты.
  • Журнал по проведению инструктажа по безопасности системы.
  • Журнал учета технических средств защиты информации.
  • Приказ о списке сотрудников, допущенных к обработке конфиденциальной информации.
  • Инструкция при возникновении внештатных ситуаций по обеспечению безопасности.
  • Соглашение о неразглашении с перечислением всех сведений, которые не подлежат разглашению. Должен подписывает каждый, кто имеет доступ к личным данным.
  • Положение о защите ПД от несанкционированного доступа. Права и обязанности оператора, понятия из законодательства, цели и основания для обработки, ответственность за разглашение и внутренний доступ.
  • Модель угроз безопасности. Совокупность условий, создающих опасность несанкционированного доступа, в результате чего может произойти копирование, изменение, уничтожение, блокирование, распространение личной информации.
  • План действий по обеспечению безопасности. Указываются сроки, установка паролей и антивирусной программы, внедрение обновлений и доработок.
  • Форма ответа на запрос ПД.
  • Что требуется для сбора информации?

    Всю документацию, которая относится к обеспечению сохранности личной информации, условно можно поделить на 3 группы:

      Организационная.

    Определяет задачи, функции и объем ответственности сотрудников, которые проверяют и отвечают за сбор, обработку и сохранность конфиденциальных сведений работников.

    1. должностные инструкции,
    2. положение,
    3. уведомления, письма,
    4. акты, приказы (о допуске сотрудников к работе с ПД).
  • Технологическая.

    Сведения из этой группы документов определяют порядок и способы реализации обеспечения защиты.

    1. инструкции по обработке данных,
    2. перечни.
  • Методическая.

    Детализация процессов обработки, порядок и правила работы с ПД.

    Назначение ответственных лиц

    Для регуляции работы руководящего и состава кадровиков предприятия следует подготовить приказ о назначении ответственных лиц за обработку персональных сведений о работниках.

    Такая мера позволяет избежать нарушений в работе и предотвратить злоупотребления с документацией. Ответственность за обработку личной информации чаще всего возлагается на юриста, специалиста или руководителя отдела кадров, а также секретаря предприятия.

    Для назначения ответственных лиц издается приказ, который можно писать в свободном виде на обычном листе бумаги или бланке с логотипом и фирменными реквизитами предприятия. В государственных учреждениях используются стандартные формуляры распорядительных актов. В учетной политике организации должна быть указана информация о формате приказов.

    В специальный журнал необходимо внести номер и наименование приказа, дату выпуска. Он должен находиться у начальника отдела кадров, юриста или секретаря предприятия.

    Подписанный и завизированный готовый приказ подшивается в отдельную папку. Утратив свою актуальность, он отправляется в архив, где хранится установленный период, после чего утилизируется.

    Определение уровня защищенности

    К документам, содержащим сведения о требованиях к ЗПД, относится акт определения уровня защищенности.

    Акт определения уровня защищенности не относится к конфиденциальным документам. Оператор обязан опубликовать его или обеспечить к нему неограниченный доступ.

    Для определения уровня защищенности на предприятии создается комиссия, в составе которой должен быть ответственный за организацию обработки. Акт должен утверждаться руководителем организации, и подписан всеми членами комиссии.

    В акте указываются:

    Начало обработки

    Для начала обработки данных требуется следующее документальное оформление:

    1. Положение, регулирующее цель обработки, требования к порядку обработки и регистрации ПД, порядку направления уведомлений и ответственных лиц.
    2. Внутренние документы политики компании в отношении автоматизированных систем и доступа к ним.
    3. Образцы уведомления уполномоченного органа.
    4. Образцы согласия и уведомлений субъекта ПД, изменения и дополнения в договора с физлицами, чьи данные обрабатываются (бухгалтерия, кадры, поставщики).
    5. Порядок отношений с распорядителем баз ПД.
    6. Порядок работы с запросами субъектов ПД.
    7. Договор с субъектами, обрабатывающими базы ПД.

    Организационно-распорядительная документация

    1. Положение о защите ПД.

    Является главным документом, который регламентирует деятельность предприятия в этой сфере, и определяет порядок хранения и использования личных сведений в компании. Это положение утверждается руководителем организации приказом и является обязательным к выполнению всеми работниками предприятия.

    В нем указаны все работники, у которых есть право работать с такой документацией. По каждому сотруднику прописывается, с какой именно информацией он может работать. Все лица, упомянутые в приказе, должны под роспись ознакомиться с этим документом и расписаться в листе ознакомления.

    Подробные правила, которые обязаны соблюдать служащие. Рекомендовано заключать соглашение о неразглашении данных с каждым из работников, допущенных к личной информации.
    Скачать бланк инструкции о защите персональных данных

    Итак, пакет документации по защите ПД включает в себя приказы, уведомления, должностные инструкции и положения, которые регулируют порядок сбора информации, обработки и хранения сведений.

    1. Понятие персональных данных работника, общие требования при обработке персональных данных и гарантии их защиты

    Согласно ст. 85 ТК РФ под персональными данными работни­ка понимается информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного работ­ника.

    Указанное определение основано на положениях Конвен­ции Совета Европы «О защите физических лиц при автомати­зированной обработке персональных данных» от 28 января 1981 г.1, в ст. 2 которой под «персональными данными» пони­мается информация, касающаяся конкретного или могущего быть идентифицированным лица (субъекта данных).

    Статья 3 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных»2 (далее — Закон о персональных данных) определяет персональные данные как любую информацию, относящуюся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных). При этом под информацией, согласно Федеральному за­кону от 27 июля 2006 г. № 149-ФЗ «Об информации, информаци­онных технологиях и защите информации»1, понимаются любые сведения (сообщения, данные) независимо от формы их пред­ставления.

    Персональные данные работников могут быть двух видов: данные, представляющие собой факты, не подлежащие субъективной оценке (например, специальность работника, приобретенная им по окончании учебного заведения), данные оценочного характера, которые могут, в частности, содержаться в характеристике работника, заключении аттестационной комиссии и т. п.

    Все сведения, составляющие информацию о работнике, по срокам их получения и нахождения у работодателя могут быть подразделены на три группы:

    а) сведения, представляемые работником при приеме на работу,

    б) сведения, создаваемые и получаемые работодателем в период трудовой деятельности работника,

    в) сведения о работнике, хранящиеся у работодателя после прекращения с ним трудовых отношений.

    Под обработкой персональных данных Конвенция от 28 янва­ря 1981 г. понимает накопление данных, проведение логиче­ских и (или) арифметических операций с такими данными, их изменение, стирание, восстановление или распространение. Статья 85 ТК РФ в принципе аналогично определяет понятие обработки персональных данных работника — как получение, хранение, комбинирование, передача или любое другое исполь­зование персональных данных работника'.

    Как видно, законодатель определил четыре формы обработ­ки персональных данных в сфере трудовых отношений — полу­чение, хранение, использование и передача.

    Персональные данные работников, т. е. та информация, ко­торой обладает работодатель, как в условиях ее ручной обра­ботки, так и в случае использования автоматизированных ин­формационных систем может стать в определенной мере от­крытой и привести к ущемлению их интересов и прав, причинить моральный вред и материальный ущерб. В связи с этим в ТК РФ закрепляются принципы, лежащие в основе об­работки персональных данных работника, положения о поряд­ке их хранения и использования в организации, о передаче персональных данных, правах работника по их защите, об от­ветственности лиц за невыполнение требований норм, регули­рующих обработку и защиту персональных данных работника.

    В соответствии со ст. 7 Закона о персональных данных и п. 1 Перечня сведений конфиденциального характера, утвер­жденного Указом Президента РФ от 6 марта 1997 г. № 188', персональные данные работника как сведения о фактах, собы­тиях и обстоятельствах частной жизни гражданина, позволяю­щие идентифицировать его личность, относятся к числу сведе­ний конфиденциального характера. Такой правовой режим пер­сональных данных работника предполагает особый порядок работы с указанными данными и особый режим их охраны.

    Конвенция Совета Европы «О защите физических лиц при автоматизированной обработке персональных данных» предъ­являет достаточно жесткие требования к работе с персональны­ми данными. Персональные данные должны: быть получены и обработаны добросовестным и законным образом, накапливаться для точно определенных и законных целей и не использоваться в противоречии с этими целями, быть адекватными, относящимися к делу и не быть избы­точными применительно к целям, для которых они накаплива­ются, быть точными и при необходимости обновляться, храниться в такой форме, которая позволяет идентифициро­вать субъектов данных не дольше, чем этого требует цель, для которой они накапливаются.

    Основные принципы обработки персональных данных в Россий­ской Федерации соответствуют требованиям указанной Кон­венции и содержатся в ст. 5 Закона о персональных данных. К ним относятся: законность целей и способов обработки персональных данных, соответствие целей обработки данных целям, заранее определенным и заявленным при сборе персональных данных, а также полномочиям оператора, соответствие объема и характера обрабатываемых персональных данных и способов их обработки целям обработки персональных данных, достоверность персональных данных, их достаточность для целей обработки, недопустимость обработки данных, избыточных по отношению к целям, заявленным при сборе персональных данных, недопустимость объединения созданных для несовместимых между собой целей баз данных информационных систем персональных данных.

    Кроме того, установлено, что обработка персональных дан­ных может осуществляться оператором только с согласия субъ­ектов персональных данных, за исключением случаев, преду­смотренных ч. 2 ст. 6 указанного Закона.

    В ст. 86 ТК РФ содержатся следующие требования к россий­ским работодателям и их представителям, направленные на обеспечение прав и свобод человека и гражданина при обра­ботке персональных данных работника.

    1. Обработка персональных данных работника может осуще­ствляться исключительно в целях: обеспечения соблюдения законов и иных нормативных пра­вовых актов, содействия работникам в трудоустройстве, обучении и про­движении по службе, обеспечения личной безопасности работников, под оператором понимается государственный орган, муници­пальный орган, юридическое или физическое лицо, организующее и (или) осуществляющее обработку персональных данных, а также опре­деляющее цели и содержание обработки персональных данных. Следо­вательно, любой работодатель является оператором персональных дан­ных своих работников контроля количества и качества выполняемой работы, обеспечения сохранности имущества.

    2. При определении объема и содержания обрабатываемых персональных данных работника работодатель должен руковод­ствоваться Конституцией РФ, Трудовым кодексом и иными федеральными законами.

    Так, согласно ст. 65 ТК РФ при приеме на работу работодатель получает о работнике следующую информацию: о трудовом стаже, подтверждаемом трудовой книжкой, о регистрации работника в системе обязательного пенсион­ного страхования, подтверждаемую соответствующим страхо­вым свидетельством, о состоянии работника на воинском учете, подтверждаемую документами воинскою учета, об образовании, квалификации работника, наличии у него специальных знаний (при поступлении на работу, требующую специальных знаний или специальной подготовки), о возрасте работника, дате и месте его рождения, месте регистрации, подтверждаемую паспортом или иным документом, удостоверяющим личность, о наличии или отсутствии у работника семейных обязанно­стей, что подтверждается паспортом.

    Перечень стандартизированных персональных данных работ­ника, получаемых от него работодателем, можно также опреде­лить на основании постановления Госкомстата РФ от 5 января 2004 г. № 1, которым, в частности, утверждена форма личной карточки работника. К сведениям, содержащимся в карточке, кроме перечисленных выше относятся данные о знании ино­странного языка, иных ближайших родственниках (кроме супру­га и детей), фактическом адресе места жительства, номере до­машнего телефона. Но поскольку получение указанной инфор­мации не предусмотрено федеральным законом, отказ работника от ее предоставления не может повлечь для него неблагоприят­ных последствий.

    В силу своих обязанностей налогового агента работника (ст. 24 Налогового кодекса РФ) работодатель также должен иметь информацию об идентификационном номере налогопла­тельщика — физического лица (если такой номер имеется), а также информацию, на основании которой производятся нало­говые вычеты (инициативу в ее предоставлении, как правило, проявляет сам работник).

    В отдельных случаях, установленных федеральными закона­ми, работодатель может получать информацию о состоянии здоровья работника путем проведения медицинского освиде­тельствования при заключении трудового договора, периодиче­ских и внеочередных медицинских осмотров (ст. 213 ТК РФ), и информацию о дактилоскопической регистрации работников.

    3. Все персональные данные работника следует получать у него самого. Если персональные данные работника возможно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие.

    Работодатель должен сообщить работнику о целях, предпо­лагаемых источниках и способах получения персональных дан­ных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное со­гласие на их получение.

    Извещение работника о предполагаемом получении его пер­сональных данных у иного лица обычно осуществляется в фор­ме соответствующего уведомления, предъявляемого работнику под расписку. При отказе работника составляется акт.

    4. Работодатель не имеет права получать и обрабатывать персональные данные работника о его политических, религиозных и иных убеждениях и частной жизни. В случаях, непосредственно связанных с вопросами трудовых отношений, работодатель вправе получать и обрабатывать данные о частной жизни работника только с его письменного согласия.

    Информация о религиозных убеждениях работника может иметь крайне существенное значение при заключении работни­ком трудового договора с религиозной организацией, если его трудовая функция предполагает участие в совершении религи­озных обрядов.

    Данные о частной жизни предоставляются непосредственно работником в целях реализации его трудовых прав и интересов. К информации о частной жизни относятся прежде всего дан­ные о семейных обязанностях работника, наличии или отсутст­вии детей, их возрасте.

    5. Работодатель не имеет права получать и обрабатывать персональные данные работника о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных ТК РФ или иными федеральными законами.

    Так, Трудовой кодекс обязывает работодателя перед уволь­нением работника, являющегося членом профсоюза, в опреде­ленных случаях испросить мотивированное мнение органа пер­вичной профсоюзной организации (ст. 82). Соответственно, Кодекс фактически обязывает работодателя собирать и обраба­тывать информацию о членстве работника в конкретном проф­союзе и о его профсоюзной деятельности, а профессиональный союз — предоставлять такую информацию по запросу работо­дателя.

    6. При принятии решений, затрагивающих интересы работника, работодатель не имеет права основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного получения.

    Указанное правило введено в связи с тем, что базы данных, хранящиеся в электронном виде, в большей мере, чем инфор­мация, содержащаяся на бумажном носителе, доступны для не­правомерного внедрения и изменения или для корректировки, осуществляемой в результате сбоя в компьютерной программе.

    7. Защита персональных данных работника от неправомерного их использования или утраты должна быть обеспечена работодателем за счет его средств в порядке, установленном ТК РФ или иными федеральными законами.

    Защита персональных данных, как и защита любой инфор­мации, согласно ст. 16 Федерального закона «Об информации, информационных технологиях и защите информации», пред­ставляет собой принятие правовых, организационных и техни­ческих мер, направленных на: обеспечение защиты информации от неправомерного досту­па, уничтожения, модифицирования, блокирования, копирова­ния, предоставления, распространения, а также иных неправо­мерных действий, соблюдение конфиденциальности информации ограничен­ного доступа, предотвращение уфоз безопасности личности, общества, го­сударства, реализацию права на доступ к информации.

    Защите подлежат любые персональные данные работника, неправомерное обращение с которыми может причинить ущерб как ему (собственнику информации), работодателю (владельцу информации), пользователю информацией, так и иному лицу.

    Основные принципы защиты данных личного характера по­лучили закрепление в Конвенции Совета Европы 1981 г. «О за­щите физических лиц при автоматизированной обработке пер­сональных данных» и Кодексе практики по защите личных дан­ных о работнике, разработанном и одобренном МОТ в 1996 г.

    8. Работники и их представители должны быть ознакомлены под роспись с документами работодателя, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области.

    В соответствии со ст. 87 ТК РФ порядок хранения и исполь­зования персональных данных работников устанавливается рабо­тодателем с соблюдением требований Трудового кодекса и иных федеральных законов. Персональные данные работника хранятся в документированной форме, характер которой также определяется работодателем. Стандартизированный перечень документации по учету труда и его оплаты установлен поста­новлением Госкомстата РФ от 5 января 2004 г. № 1. Докумен­ты, содержащие информацию о конкретном работнике, фор­мируют его личное дело. Сроки хранения персональных данных работников определяются на основании Перечня типовых управленческих документов, образующихся в деятельности ор­ганизаций, с указанием сроков хранения, утвержденного руко­водителем Федеральной архивной службы России 6 октября 2000 г.

    Как полагают специалисты, работодатель должен разрабо­тать специальный локальный нормативный правовой акт, кото­рый должен включать: перечень сведений, относящихся к персональным данным работника по различным категориям должностей, порядок получения персональных данных у третьих лиц, включая последствия для работника в случае его отказа дать со­гласие на их получение, порядок обработки, хранения и использования персональ­ных данных с установлением индивидуальных обязанностей представителей работодателя и ответственности за их наруше­ние, права и обязанности работников на защиту своих персо­нальных данных, порядок ознакомления с актом всех работающих, а также вновь принятых на работу работников.

    9. Работники не должны отказываться от своих прав на сохранение и защиту тайны. Отказ от указанных прав может нарушить неприкосновен­ность частной жизни работников, их личную и семейную тай­ну, причинить моральный и материальный ущерб.

    10. Работодатели, работники и их представители должны со в местно вырабатывать меры защиты персональных данных работников.

    В частности, представители работников могут участвовать в разработке локального нормативного акта, регламентирующего порядок хранения и использования персональных данных ра­ботников.

    Смотрите видео: Изменения с и форма согласия на обработку персональных данных- Елена А. Пономарева (June 2019).